CVE-2026-30972 in parse-server
Riassunto
di VulDB • 16/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.5.2-alpha.10 e 8.6.23, il middleware di rate limiting (limitazione della frequenza) di Parse Server viene applicato a livello del layer dei middleware Express; tuttavia, l'endpoint per le richieste batch (/batch) elabora le sotto-richieste internamente instradandole direttamente tramite il Promise router, aggirando i middleware Express inclusi quelli relativi al rate limiting. Un attaccante può raggruppare più richieste dirette verso un endpoint soggetto a limitazione della frequenza in una singola richiesta batch per eludere il limite di frequenza configurato. Qualsiasi distribuzione di Parse Server che fa affidamento sulla funzionalità integrata di rate limiting è interessata da questa vulnerabilità. La vulnerabilità è stata risolta nelle versioni 9.5.2-alpha.10 e 8.6.23.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.