CVE-2026-32234 in parse-server
요약
\~에 의해 VulDB • 2026. 08. 13.
Parse Server는 Node.js를 실행할 수 있는 모든 인프라에 배포할 수 있는 오픈 소스 백엔드입니다. 버전 9.6.0-alpha.10 및 8.6.36 이전에서, master key에 접근 권한이 있는 공격자는 Parse Server가 데이터베이스로 PostgreSQL을 사용하도록 구성된 경우 쿼리 제약 조건(query constraints)에 사용되는 조작된 필드 이름을 통해 악의적인 SQL을 주입할 수 있습니다. $regex 쿼리 연산자 내의 필드 이름은 매개변수화되지 않은 문자열 보간(unparameterized string interpolation) 방식을 사용하여 PostgreSQL로 전달되므로, 공격자가 SQL 쿼리를 조종할 수 있게 됩니다. master key는 Parse Server 추상화 계층을 통해 수행 가능한 작업을 제어하지만, 이 SQL Injection 취약점은 Parse Server를 완전히 우회하여 데이터베이스 수준에서 작동합니다. 이 취약점은 PostgreSQL을 사용하는 Parse Server 배포 환경에만 영향을 미칩니다. 이 취약점은 버전 9.6.0-alpha.10 및 8.6.36에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.