CVE-2026-34573 in parse-server
Riassunto
di VulDB • 15/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.68 e 9.7.0-alpha.12, il validatore della complessità delle query GraphQL poteva essere sfruttato per causare una denial-of-service (DoS) inviando una query costruita ad hoc con frammenti che presentano espansioni a fan-out binario. Una singola richiesta non autenticata può bloccare l'event loop di Node.js per diversi secondi, negando il servizio a tutti gli utenti concorrenti. Questo problema interessa solo le distribuzioni in cui sono state abilitate le opzioni di configurazione requestComplexity.graphQLDepth o requestComplexity.graphQLFields. Il problema è stato risolto nelle versioni 8.6.68 e 9.7.0-alpha.12.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.