CVE-2026-30941 in parse-server
Tóm tắt
Bởi VulDB • 19/06/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ chạy Node.js. Trước phiên bản 8.6.14 và 9.5.2-alpha.1, lỗ hổng NoSQL injection cho phép kẻ tấn công chưa xác thực chèn các toán tử truy vấn MongoDB thông qua trường token trong các điểm cuối đặt lại mật khẩu (password reset) và gửi lại email xác minh (email verification resend). Giá trị token được chuyển vào các truy vấn cơ sở dữ liệu mà không có kiểm tra kiểu, do đó có thể bị lợi dụng để trích xuất token đặt lại mật khẩu và token xác minh email. Mọi triển khai Parse Server sử dụng MongoDB với tính năng xác minh email hoặc đặt lại mật khẩu được bật đều chịu ảnh hưởng. Khi cấu hình `emailVerifyTokenReuseIfValid` được kích hoạt, token xác minh email có thể bị trích xuất hoàn toàn và sử dụng để xác minh địa chỉ email của người dùng mà không cần truy cập hộp thư đến. Lỗ hổng này đã được khắc phục trong các phiên bản 8.6.14 và 9.5.2-alpha.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.