CVE-2026-30965 in parse-server
Сводка
по VulDB • 04.06.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. В версиях до 9.5.2-alpha.8 и 8.6.21 уязвимость в механизме обработки запросов Parse Server позволяет атакующему (авторизованному или неавторизованному) эксфильтровать токены сессий других пользователей путем эксплуатации параметра query redirectClassNameForKey. Эксфильтрованные токены сессии могут быть использованы для захвата учетных записей пользователей. Для реализации атаки необходимо, чтобы злоумышленник мог создавать или обновлять объект с новым полем отношения (relation field), что зависит от разрешений на уровне класса (Class-Level Permissions) как минимум одного класса. Уязвимость исправлена в версиях 9.5.2-alpha.8 и 8.6.21.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.