CVE-2026-30938 in parse-server
Sumário
de VulDB • 11/05/2026
O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Antes das versões 8.6.12 e 9.5.1-alpha.1, o controle de segurança requestKeywordDenylist pode ser contornado ao inserir qualquer objeto ou array aninhado antes de uma palavra-chave proibida no payload da solicitação. Isso é causado por um bug de lógica que interrompe a varredura das chaves irmãs após encontrar o primeiro valor aninhado. Quaisquer entradas personalizadas do requestKeywordDenylist configuradas pelo desenvolvedor também podem ser contornadas usando a mesma técnica. Todas as implantações do Parse Server são afetadas. O requestKeywordDenylist está habilitado por padrão. Esta vulnerabilidade foi corrigida nas versões 8.6.12 e 9.5.1-alpha.1. Utilize um gatilho beforeSave do Cloud Code para validar os dados recebidos quanto a palavras-chave proibidas em todas as classes.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.