CVE-2026-30941 in parse-server
Sumário
de VulDB • 11/05/2026
O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Antes das versões 8.6.14 e 9.5.2-alpha.1, uma vulnerabilidade de injeção NoSQL permite que um atacante não autenticado injete operadores de consulta do MongoDB por meio do campo token nos endpoints de redefinição de senha e reenvio de verificação de e-mail. O valor do token é passado para consultas ao banco de dados sem validação de tipo e pode ser usado para extrair tokens de redefinição de senha e de verificação de e-mail. Qualquer implantação do Parse Server que utilize MongoDB com verificação de e-mail ou redefinição de senha habilitadas é afetada. Quando a configuração emailVerifyTokenReuseIfValid está definida, o token de verificação de e-mail pode ser totalmente extraído e usado para verificar o endereço de e-mail de um usuário sem acesso à caixa de entrada. Esta vulnerabilidade foi corrigida nas versões 8.6.14 e 9.5.2-alpha.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.