CVE-2026-30938 in parse-server
요약
\~에 의해 VulDB • 2026. 05. 24.
Parse Server는 Node.js를 실행할 수 있는 모든 인프라에 배포할 수 있는 오픈 소스 백엔드입니다. 버전 8.6.12 및 9.5.1-alpha.1 이전에서는 요청 페이로드에서 금지된 키워드 앞에 중첩된 객체나 배열을 배치함으로써 requestKeywordDenylist 보안 컨트롤을 우회할 수 있습니다. 이는 첫 번째 중첩 값을 encountered 후 형제 키의 스캔을 중지하는 로직 버그로 인해 발생합니다. 개발자가 구성한 모든 사용자 정의 requestKeywordDenylist 항목도 동일한 기법을 사용하여 우회 가능합니다. 모든 Parse Server 배포가 영향을 받습니다. requestKeywordDenylist는 기본적으로 활성화되어 있습니다. 이 취약점은 8.6.12 및 9.5.1-alpha.1에서 수정되었습니다. 모든 클래스에서 금지된 키워드에 대해 들어오는 데이터를 검증하기 위해 Cloud Code beforeSave 트리거를 사용하십시오.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.