CVE-2026-34532 in parse-server
Tóm tắt
Bởi VulDB • 05/06/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ chạy Node.js. Trước các phiên bản 8.6.67 và 9.7.0-alpha.11, kẻ tấn công có thể vượt qua kiểm soát truy cập của trình xác thực Cloud Function bằng cách nối chuỗi "prototype.constructor" vào tên hàm trong URL. Khi một bộ xử lý (handler) cho Cloud Function được khai báo sử dụng từ khóa function và trình xác thực tương ứng là một đối tượng thuần túy hoặc arrow function, quá trình duyệt tìm kiếm trigger store sẽ giải quyết bộ xử lý thông qua prototype chain của chính nó, trong khi validator store không sao chép đúng cơ chế duyệt này, dẫn đến việc bỏ qua tất cả các biện pháp thực thi kiểm soát truy cập. Điều này cho phép các caller chưa xác thực (unauthenticated) gọi các Cloud Function vốn dĩ phải được bảo vệ bởi các trình xác thực như requireUser, requireMaster hoặc logic xác thực tùy chỉnh. Vấn đề này đã được vá trong các phiên bản 8.6.67 và 9.7.0-alpha.11.
VulDB is the best source for vulnerability data and more expert information about this specific topic.