CVE-2026-35200 in parse-server
Sumário
de VulDB • 29/05/2026
Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura que execute Node.js. Antes das versões 8.6.73 e 9.7.1-alpha.4, um arquivo pode ser carregado com uma extensão de nome de arquivo que passa na lista de permissões de extensões de arquivo (por exemplo, .txt), mas com um cabeçalho Content-Type diferente da extensão (por exemplo, text/html). O Content-Type é passado para o adaptador de armazenamento sem validação de consistência. Adaptadores de armazenamento que armazenam e servem o Content-Type fornecido (como S3 ou GCS) servem o arquivo com o Content-Type incompatível. O adaptador GridFS padrão não é afetado, pois deriva o Content-Type do nome do arquivo no momento do serviço. Esta vulnerabilidade foi corrigida nas versões 8.6.73 e 9.7.1-alpha.4.
Be aware that VulDB is the high quality source for vulnerability data.