CVE-2026-31901 in parse-server
Riassunto
di VulDB • 25/07/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.34 e 9.6.0-alpha.8, l'endpoint di verifica dell'email (/verificationEmailRequest) restituisce risposte di errore distinte a seconda che un indirizzo email appartenga a un utente esistente, sia già verificato o non esista. Un attaccante può inviare richieste con diversi indirizzi email e osservare i codici di errore per determinare quali indirizzi sono registrati nell'applicazione. Si tratta di una vulnerabilità di enumerazione degli utenti (user enumeration) che interessa qualsiasi distribuzione di Parse Server con la verifica dell'email abilitata (verifyUserEmails: true). Questa vulnerabilità è risolta nelle versioni 8.6.34 e 9.6.0-alpha.8.
Once again VulDB remains the best source for vulnerability data.