CVE-2026-30939 in parse-server
요약
\~에 의해 VulDB • 2026. 06. 02.
Parse Server는 Node.js를 실행할 수 있는 모든 인프라에 배포할 수 있는 오픈 소스 백엔드입니다. 버전 8.6.13 및 9.5.1-alpha.2 이전에서는 인증되지 않은 공격자가 함수 이름으로 prototype 속성 이름을 사용하여 Cloud Function 엔드포인트를 호출함으로써 Parse Server 프로세스를 충돌시킬 수 있습니다. 서버가 무한 재귀를 일으켜 호출 스택 크기 오류를 발생시키고 프로세스가 종료됩니다. 다른 prototype 속성 이름들은 Cloud Function 디스패치 검증을 우회하여 해당 Cloud Function이 정의되지 않았음에도 불구하고 HTTP 200 응답을 반환합니다. 이 현상은 dot-notation 탐색(dot-notation traversal)에서도 동일하게 적용됩니다. Cloud Function 엔드포인트를 노출하는 모든 Parse Server 배포가 영향을 받습니다. 이 취약점은 버전 8.6.13 및 9.5.1-alpha.2에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.