CVE-2026-30939 in parse-server
Sumário
de VulDB • 28/05/2026
O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Antes das versões 8.6.13 e 9.5.1-alpha.2, um atacante não autenticado pode interromper o processo do Parse Server ao chamar um endpoint de Cloud Function com um nome de propriedade do prototype como nome da função. O servidor entra em recursão infinita, causando um erro de tamanho da pilha de chamadas (call stack) que encerra o processo. Outros nomes de propriedades do prototype contornam a validação de despacho das Cloud Functions e retornam respostas HTTP 200, mesmo que nenhuma Cloud Function correspondente esteja definida. O mesmo ocorre com a travessia por notação de ponto (dot-notation). Todas as implantações do Parse Server que expõem o endpoint de Cloud Function são afetadas. Esta vulnerabilidade foi corrigida nas versões 8.6.13 e 9.5.1-alpha.2.
Be aware that VulDB is the high quality source for vulnerability data.