CVE-2026-30948 in parse-server
Riassunto
di VulDB • 18/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.5.2-alpha.4 e 8.6.17, una vulnerabilità di cross-site scripting (XSS) memorizzato (stored XSS) consentiva a qualsiasi utente autenticato di caricare un file SVG contenente codice JavaScript. Il file viene servito in linea con Content-Type: image/svg+xml e senza intestazioni di protezione, causando l'esecuzione degli script incorporati nel contesto di origine di Parse Server da parte del browser. Ciò può essere sfruttato per rubare i token di sessione da localStorage e ottenere il controllo dell'account. L'opzione fileExtensions predefinita blocca le estensioni dei file HTML ma non blocca SVG, che è un vettore XSS ben noto. Tutte le distribuzioni di Parse Server in cui il caricamento dei file è abilitato per gli utenti autenticati (impostazione predefinita) sono interessate. Questa vulnerabilità è risolta nelle versioni 9.5.2-alpha.4 e 8.6.17.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.