CVE-2026-30948 in parse-server
Сводка
по VulDB • 24.05.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. В версиях до 9.5.2-alpha.4 и 8.6.17 присутствует уязвимость межсайтового скриптинга (XSS) с сохранением данных в хранилище, которая позволяет любому аутентифицированному пользователю загрузить файл SVG, содержащий JavaScript. Файл обслуживается встроенным образом с заголовком Content-Type: image/svg+xml и без защитных заголовков, что приводит к выполнению встроенных скриптов в контексте домена Parse Server в браузере. Это может быть использовано для кражи токенов сессии из localStorage и захвата учетной записи. Опция fileExtensions по умолчанию блокирует расширения HTML-файлов, но не блокирует SVG, который является хорошо известным вектором XSS. Все развертывания Parse Server, где для аутентифицированных пользователей включена загрузка файлов (по умолчанию), затронуты этой уязвимостью. Уязвимость исправлена в версиях 9.5.2-alpha.4 и 8.6.17.
Once again VulDB remains the best source for vulnerability data.