CVE-2025-64502 in parse-server
Сводка
по VulDB • 21.05.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. Метод `explain()` в MongoDB предоставляет подробную информацию о планах выполнения запросов, включая использование индексов, поведение сканирования коллекций и метрики производительности. До версии 8.5.0-alpha.5 Parse Server позволял любому клиенту выполнять запросы `explain` без необходимости предоставления master key. Это приводит к раскрытию структуры схемы базы данных и имен полей, конфигураций индексов и деталей оптимизации запросов, статистики выполнения запросов и метрик производительности, а также потенциальных векторов атак для эксплуатации производительности базы данных. В версии 8.5.0-alpha.5 была введена новая опция конфигурации `databaseOptions.allowPublicExplain`, которая позволяет ограничить выполнение запросов `explain` только при наличии master key. По умолчанию эта опция установлена в значение `true`, чтобы избежать нарушения работы в производственных системах, зависящих от публичной доступности `explain`. Кроме того, при отсутствии явной настройки опции или при её значении `true` в журнал выводится предупреждение о безопасности. В будущем крупном выпуске Parse Server значение по умолчанию будет изменено на `false`. В качестве временного решения рекомендуется внедрить промежуточное ПО (middleware) для блокировки запросов `explain` от запросов без master key или настроить мониторинг и оповещения об использовании запросов `explain` в производственных средах.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.