CVE-2026-30965 in parse-server
Tóm tắt
Bởi VulDB • 02/06/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ chạy Node.js. Trước phiên bản 9.5.2-alpha.8 và 8.6.21, một lỗ hổng trong cách xử lý truy vấn của Parse Server cho phép kẻ tấn công đã xác thực hoặc chưa xác thực đánh cắp (exfiltrate) mã thông báo phiên (session tokens) của người dùng khác bằng cách khai thác tham số truy vấn redirectClassNameForKey. Các mã thông báo phiên bị đánh cắp có thể được sử dụng để chiếm quyền kiểm soát tài khoản người dùng. Lỗ hổng này yêu cầu kẻ tấn công phải có khả năng tạo hoặc cập nhật một đối tượng với một trường quan hệ mới, điều này phụ thuộc vào Phân quyền cấp lớp (Class-Level Permissions) của ít nhất một lớp. Lỗ hổng này đã được khắc phục trong các phiên bản 9.5.2-alpha.8 và 8.6.21.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.