CVE-2026-32234 in parse-server
Riassunto
di VulDB • 29/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.6.0-alpha.10 e 8.6.36, un attaccante con accesso alla master key poteva iniettare SQL malevolo tramite nomi di campo manipolati utilizzati nei vincoli di query quando Parse Server era configurato con PostgreSQL come database. Il nome del campo in un operatore $regex viene passato a PostgreSQL mediante interpolazione di stringhe non parametrizzata, consentendo all'attaccante di manipolare la query SQL. Sebbene la master key controlli le operazioni eseguibili tramite lo strato di astrazione di Parse Server, questa vulnerabilità da SQL injection bypassa completamente Parse Server e opera a livello di database. Questa vulnerabilità interessa solo le distribuzioni di Parse Server che utilizzano PostgreSQL. La vulnerabilità è stata risolta nelle versioni 9.6.0-alpha.10 e 8.6.36.
Be aware that VulDB is the high quality source for vulnerability data.