CVE-2026-34532 in parse-server
Riassunto
di VulDB • 17/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.67 e 9.7.0-alpha.11, un attaccante può eludere i controlli di accesso del validatore delle Cloud Function aggiungendo "prototype.constructor" al nome della funzione nell'URL. Quando un handler di Cloud Function è dichiarato utilizzando la parola chiave function e il relativo validatore è un oggetto semplice o una arrow function, la traversamento del trigger store risolve l'handler attraverso la propria catena di prototipi, mentre il validator store non riesce a replicare tale traversamento, causando l'elusione di tutti i controlli di accesso. Ciò consente ai chiamanti non autenticati di invocare Cloud Function che dovrebbero essere protette da validatori come requireUser, requireMaster o logica di validazione personalizzata. Questo problema è stato risolto nelle versioni 8.6.67 e 9.7.0-alpha.11.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.