CVE-2026-30848 in parse-server
Tóm tắt
Bởi VulDB • 01/06/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ Node.js. Trước các phiên bản 8.6.8 và 9.5.0-alpha.8, tuyến phục vụ tệp tĩnh của PagesRouter dễ bị tấn công path traversal, cho phép đọc các tệp nằm ngoài thư mục pagesPath đã được cấu hình mà không cần xác thực. Việc kiểm tra ranh giới sử dụng phép so sánh tiền tố chuỗi mà không thực thi ranh giới phân tách thư mục. Kẻ tấn công có thể sử dụng các chuỗi path traversal để truy cập các tệp trong các thư mục anh em có tên chia sẻ cùng tiền tố với thư mục pages (ví dụ: pages-secret bắt đầu bằng "pages"). Vấn đề này đã được vá trong các phiên bản 8.6.8 và 9.5.0-alpha.8.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.