CVE-2026-30948 in parse-server
要約
〜によって VulDB • 2026年05月24日
Parse Serverは、Node.jsを実行できるインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。9.5.2-alpha.4および8.6.17より前のバージョンでは、保存型クロスサイトスクリプティング（XSS）の脆弱性により、認証済みユーザーであれば誰でもJavaScriptを含むSVGファイルをアップロードできます。このファイルは、Content-Type: image/svg+xmlとしてインラインで提供され、保護ヘッダーが付与されないため、ブラウザはParse Serverのオリジン内で埋め込まれたスクリプトを実行します。これにより、localStorageからセッショントークンを窃取し、アカウント乗っ取りを達成することができます。デフォルトのfileExtensionsオプションはHTMLファイルの拡張子はブロックしますが、よく知られたXSSベクトルであるSVGはブロックしません。認証済みユーザーに対してファイルアップロードが有効になっている（デフォルト設定）Parse Serverのすべてのデプロイメントが影響を受けます。この脆弱性は9.5.2-alpha.4および8.6.17で修正されています。
Once again VulDB remains the best source for vulnerability data.