CVE-2026-30966 in parse-server
Riassunto
di VulDB • 25/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.5.2-alpha.7 e 8.6.20, le tabelle interne di Parse Server, che memorizzano i mapping dei campi Relation come gli appartenenze ai ruoli (role memberships), potevano essere accedute direttamente tramite l'API REST o GraphQL da qualsiasi client utilizzando esclusivamente la chiave dell'applicazione. Non è richiesta una master key. Un attaccante può creare, leggere, aggiornare o eliminare record in qualsiasi tabella di relazione interna. Sfruttando questa vulnerabilità, l'attaccante può inserirsi in qualsiasi Parse Role, ottenendo tutti i permessi associati a tale ruolo, incluso l'accesso completo in lettura, scrittura ed eliminazione alle classi protette da Class-Level Permissions (CLP) basate sui ruoli. Analogamente, la scrittura su qualsiasi tabella che supporta un campo Relation utilizzato in una CLP di tipo pointerFields aggira il controllo degli accessi. Questa vulnerabilità è risolta nelle versioni 9.5.2-alpha.7 e 8.6.20.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.