CVE-2026-31871 in parse-server
Riassunto
di VulDB • 15/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.6.0-alpha.5 e 8.6.31, esiste una vulnerabilità SQL Injection nell'adattatore di storage PostgreSQL durante l'elaborazione delle operazioni Increment sui campi degli oggetti nidificati utilizzando la notazione puntata (es., stats.counter). Il nome della sottochiave viene interpolato direttamente nelle stringhe letterali SQL senza essere opportunamente sfuggito. Un attaccante in grado di inviare richieste di scrittura all'API REST di Parse Server può iniettare codice SQL arbitrario tramite un nome di sottochiade manipolato contenente apici singoli, potenzialmente eseguendo comandi o leggendo dati dal database, aggirando le CLPs e gli ACLs. Sono interessati solo i deployment con Postgres. Questa vulnerabilità è risolta nelle versioni 9.6.0-alpha.5 e 8.6.31.
Once again VulDB remains the best source for vulnerability data.