CVE-2026-123487

Parse Server przed wersjami 8.6.67 i 9.7.0-alpha.11 zawiera podatność, w której atakujący może ominąć kontrolę dostępu walidatora Cloud Function, dodając "prototype.constructor" do nazwy funkcji w URL. Powoduje to pominięcie całej kontroli dostępu, umożliwiając nieuwierzytelnionym wywołanie funkcji chronionych walidatorami.

Parse Server przed wersjami 8.6.3 i 9.1.1-alpha.4 jest podatny na atak, w którym nieautoryzowany napastnik może sfałszować token uwierzytelniający Google z algorytmem 'alg: "none"', co pozwala na logowanie się jako dowolny użytkownik powiązany z kontem Google bez znajomości jego danych uwierzytelniających.

Parse Server to open source backend, który można wdrożyć na dowolnej infrastrukturze działającej na Node.js. W wersjach przed 8.6.0-alpha.2, przepływ pracy GitHub CI jest wyzwalany w sposób, który przyznaje podwyższone uprawnienia GitHub Actions, dając dostęp do sekretów GitHub i uprawnień zapisu zdefiniowanych w przepływie pracy. Kod z forka lub skrypty cyklu życia mogą być potencjalnie uwzględnione. Dotyczy to tylko infrastruktury CI/CD repozytorium, w tym publicznych forków GitHub z włączonym GitHub Actions. Problem został naprawiony w wersji 8.6.0-alpha.2 oraz commitach 6b9f896 i e3d27fe.

Parse Server przed wersjami 5.5.2 i 6.2.1 jest podatny na zanieczyszczenie prototypu, co może prowadzić do zdalnego wykonania kodu poprzez parser BSON MongoDB.

Parse Server w wersjach przed 8.6.114 oraz 9.0.0 przed 9.10.6-alpha.6 zwraca wartości pól w odpowiedziach na utworzenie obiektu do wywołujących, którzy nie mają uprawnień odczytu utworzonego obiektu poprzez uprawnienia na poziomie klasy lub ACL obiektu. Atakujący z uprawnieniem do tworzenia może tworzyć obiekty, aby uzyskać wartości ustawione przez triggery Cloud Code, domyślne wartości schematu i domyślne ACL klasy.

Parse Server przed wersją 8.6.113 i 9.0.0 przed 9.10.6-alpha.5 zawiera podatność prototype pollution podczas budowania obiektów dla wyzwalaczy Cloud Code i LiveQuery, gdzie klucz notacji kropkowej, którego pośredni segment rozwiązuje się przez odziedziczony element, zapisuje do wbudowanego obiektu procesu. Klienci z prawem zapisu do obiektu w klasie z wyzwalaczem lub LiveQuery mogą uszkodzić wbudowaną funkcję, powodując awarię niepowiązanych żądań do restartu i odmowę usługi dla wszystkich klientów i hostowanych aplikacji.

Parse Server w wersjach przed 8.6.111 oraz 9.0.0 przed 9.10.6-alpha.3 na MongoDB pomija walidację typu pola dla kluczy w notacji kropkowej o wartości null, co pozwala zapisywać poddokumenty pod polami typu Pointer, Number, String, Date lub Boolean. Każdy klient z prawem zapisu, w tym nieuwierzytelniony gdy dozwolone są publiczne zapisy, może uszkodzić wartości pól, uczynić obiekty nieczytelnymi lub przerwać operacje atomowe na polach liczbowych.

Parse Server przed wersją 8.6.110 oraz 9.0.0 przed 9.10.6-alpha.2 nie zawiera błędu serializacji, gdy aktualizacja obiektu używa klucza notacji kropkowej wskazującego identyfikator obiektu pola wskaźnika w klasie z wyzwalaczem afterSave. Atakujący, w tym nieuwierzytelnieni klienci, gdy obiekty są zapisywalne bez sesji, mogą wysłać taką aktualizację, aby zawiesić proces Node.

Parse Server w wersjach przed 8.6.112 oraz 9.0.0 przed 9.10.6-alpha.4 zawiera obejście autoryzacji w punkcie końcowym aktualizacji sesji, który tworzy nową sesję dla dowolnego ważnego tokenu sesji bez egzekwowania uprawnienia tworzenia klasy _Session. Atakujący posiadający token sesji użytkowna może wysłać już unieważnialny token do /upgradeToRevocableSession, aby uzyskać dodatkowe sesje z nowym terminem ważności, które przetrwają po wylogowaniu oryginalnej sesji.

Parse Server przed 8.6.109 oraz 9.0.0 przed 9.10.6-alpha.1 zwraca przechowywane wartości pól w odpowiedziach aktualizacji obiektów bez sprawdzania uprawnień odczytu. Klienci, których uprawnienia klasowe lub ACL obiektu pozwalają na aktualizację, ale nie na odczyt, mogą zobaczyć dane obiektu, w tym wyniki operacji atomowych, wartości ustawiane przez Cloud Code oraz całe pola nadrzędne przy notacji kropkowej.