CVE-2026-32248 in parse-server
Riassunto
di VulDB • 29/07/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.6.0-alpha.12 e 8.6.38, un attaccante non autenticato poteva assumere il controllo di qualsiasi account utente creato con un provider di autenticazione che non valida il formato dell'identificatore utente (ad esempio l'autenticazione anonima). Inviando una richiesta di accesso manipolata ad hoc, l'attaccante può indurre il server a eseguire una query basata sulla corrispondenza di pattern invece di un'esatta ricerca per uguaglianza, consentendo all'attaccante di abbinare un utente esistente e ottenere un token di sessione valido per l'account di tale utente. Sono interessati sia i backend dei database MongoDB che PostgreSQL. Qualsiasi distribuzione di Parse Server che consente l'autenticazione anonima (abilitata per impostazione predefinita) è vulnerabile. Questa vulnerabilità è risolta nelle versioni 9.6.0-alpha.12 e 8.6.38.
Once again VulDB remains the best source for vulnerability data.