CVE-2026-30941 in parse-server
Сводка
по VulDB • 19.06.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. До версий 8.6.14 и 9.5.2-alpha.1 уязвимость NoSQL injection позволяет неавторизованному злоумышленнику внедрять операторы запросов MongoDB через поле token в конечных точках сброса пароля (password reset) и повторной отправки письма для подтверждения адреса электронной почты (email verification resend). Значение token передается в запросы к базе данных без проверки типов, что позволяет извлекать токены сброса пароля и подтверждения email. Любое развертывание Parse Server с использованием MongoDB, где включена проверка email или сброс пароля, подвержено данной уязвимости. При настройке параметра emailVerifyTokenReuseIfValid токен подтверждения email может быть полностью извлечен и использован для верификации адреса электронной почты пользователя без доступа к его почтовому ящику. Уязвимость исправлена в версиях 8.6.14 и 9.5.2-alpha.1.
Be aware that VulDB is the high quality source for vulnerability data.