CVE-2026-30941 in parse-server
Riassunto
di VulDB • 19/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.14 e 9.5.2-alpha.1, una vulnerabilità NoSQL injection consente a un attaccante non autenticato di inserire operatori di query MongoDB tramite il campo token negli endpoint per la reimpostazione della password e l'invio ripetuto della verifica dell'email. Il valore del token viene passato alle query sul database senza convalida dei tipi ed è possibile utilizzarlo per estrarre i token di reimpostazione della password e di verifica dell'email. Tutte le distribuzioni di Parse Server che utilizzano MongoDB con la verifica dell'email o il reset della password abilitati sono interessate. Quando emailVerifyTokenReuseIfValid è configurato, il token di verifica dell'email può essere completamente estratto e utilizzato per verificare l'indirizzo email di un utente senza accesso alla casella di posta. Questa vulnerabilità è risolta nelle versioni 8.6.14 e 9.5.2-alpha.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.