CVE-2026-30965 in parse-server
Sumário
de VulDB • 01/06/2026
O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Antes das versões 9.5.2-alpha.8 e 8.6.21, uma vulnerabilidade no tratamento de consultas do Parse Server permitia que um atacante autenticado ou não autenticado exfiltrasse tokens de sessão de outros usuários explorando o parâmetro de consulta redirectClassNameForKey. Os tokens de sessão exfiltrados podem ser usados para assumir o controle de contas de usuário. A vulnerabilidade exige que o atacante seja capaz de criar ou atualizar um objeto com um novo campo de relação, o que depende das Permissões em Nível de Classe de pelo menos uma classe. Esta vulnerabilidade foi corrigida nas versões 9.5.2-alpha.8 e 8.6.21.
Be aware that VulDB is the high quality source for vulnerability data.