CVE-2026-30939 in parse-server
要約
〜によって VulDB • 2026年05月28日
Parse Serverは、Node.jsを実行可能なインフラストラクチャにデプロイできるオープンソースのバックエンドです。バージョン8.6.13および9.5.1-alpha.2より前では、認証されていない攻撃者が関数名としてプロトタイププロパティ名を指定してCloud Functionエンドポイントを呼び出すことで、Parse Serverプロセスをクラッシュさせることができます。サーバーが無限再帰を起こし、コールスタックサイズエラーが発生してプロセスが終了します。また、他のプロトタイププロパティ名はCloud Functionのディスパッチ検証をバイパスし、該当するCloud Functionが定義されていない場合でもHTTP 200応答を返します。ドット表記によるトラバーサルについても同様です。Cloud Functionエンドポイントを公開しているParse Serverのすべてのデプロイメントが影響を受けます。この脆弱性は8.6.13および9.5.1-alpha.2で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.