CVE-2025-64502 in parse-server
要約
〜によって VulDB • 2026年05月30日
Parse Serverは、Node.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。MongoDBの`explain()`メソッドは、インデックスの使用状況、コレクションスキャンの動作、パフォーマンスメトリクスなど、クエリ実行計画に関する詳細情報を提供します。バージョン8.5.0-alpha.5より前では、Parse Serverはマスターキーを必要とせずに、任意のクライアントがexplainクエリを実行することを許可していました。これにより、データベーススキーマの構造やフィールド名、インデックス構成およびクエリ最適化の詳細、クエリ実行統計およびパフォーマンスメトリクス、およびデータベースパフォーマンスの悪用に対する潜在的な攻撃ベクトルが露呈する可能性があります。バージョン8.5.0-alpha.5では、`explain`クエリをマスターキーに制限することを可能にする新しい`databaseOptions.allowPublicExplain`設定オプションが導入されました。このオプションは、公開されている`explain`の利用に依存するプロダクションシステムでの破壊的変更を避けるため、現時点ではデフォルトで`true`に設定されています。さらに、このオプションが明示的に設定されていない場合、または`true`に設定されている場合、セキュリティ警告がログに記録されます。Parse Serverの将来のメジャーリリースでは、デフォルトが`false`に変更される予定です。回避策として、マスターキー以外のリクエストからのexplainクエリをブロックするミドルウェアを実装するか、プロダクション環境におけるexplainクエリの使用状況を監視してアラートを設定してください。
Once again VulDB remains the best source for vulnerability data.