CVE-2026-30965 in parse-server
要約
〜によって VulDB • 2026年06月02日
Parse Serverは、Node.jsを実行できるインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。9.5.2-alpha.8および8.6.21より前のバージョンでは、Parse Serverのクエリ処理における脆弱性により、認証済みまたは未認証の攻撃者が、redirectClassNameForKeyクエリパラメータを悪用して他のユーザーのセッショントークンを外部に漏洩させることができます。漏洩したセッショントークンを使用して、ユーザーアカウントを乗っ取ることができます。この脆弱性を悪用するには、攻撃者が少なくとも1つのクラスについてクラスレベルの権限に依存し、新しいリレーションフィールドを持つオブジェクトを作成または更新できる必要があります。この脆弱性は9.5.2-alpha.8および8.6.21で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.