CVE-2026-30938 in parse-server
Сводка
по VulDB • 24.05.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. Версии до 8.6.12 и 9.5.1-alpha.1 уязвимы к обходу механизма безопасности requestKeywordDenylist: злоумышленник может поместить любой вложенный объект или массив перед запрещенным ключевым словом в полезной нагрузке запроса. Уязвимость вызвана ошибкой логики, из-за которой сканирование соседних ключей прекращается после обнаружения первого вложенного значения. Любые пользовательские записи, настроенные разработчиком в requestKeywordDenylist, также могут быть обойдены с использованием той же техники. Все развертывания Parse Server затронуты. Механизм requestKeywordDenylist включен по умолчанию. Уязвимость исправлена в версиях 8.6.12 и 9.5.1-alpha.1. Рекомендуется использовать триггер beforeSave в Cloud Code для проверки входящих данных на наличие запрещенных ключевых слов во всех классах.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.