CVE-2026-61448
NiskieCVSS 2.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Parse Server w wersjach od 9.0.0 do 9.10.0-alpha.2 oraz od 8.6.83 i wcześniejszych zawiera podatność na trwałe XSS. Nieprawidłowo sformowany Content-Type pliku (np. 'image//svg+xml') omija blokadę rozszerzeń i jest przechowywany bez zmian, co w przypadku adapterów S3, GCS lub Azure powoduje, że przeglądarka interpretuje plik jako HTML i wykonuje osadzony skrypt.
Ocena ryzyka
Atakujący może przesłać plik z złośliwym kodem JavaScript, który zostanie wykonany w kontekście aplikacji po otwarciu URL pliku przez innych użytkowników, prowadząc do kradzieży sesji, wycieku danych lub innych działań w imieniu ofiary.
Rekomendacja
Zaleca się natychmiastową aktualizację Parse Server do wersji 9.10.0-alpha.2 lub 8.6.84. Jeśli aktualizacja nie jest możliwa, należy tymczasowo wyłączyć obsługę adapterów przechowujących Content-Type (S3, GCS, Azure) lub zastosować reguły WAF blokujące nieprawidłowe Content-Type.
Inne podatności w Parse Server
Zobacz wszystkie- CVE-2026-109954Średnie
Parse Server w wersji od 5.4.0 do 8.6.96 oraz od 9.0.0 do 9.10.2-alpha.5 współdzieli stan transakcyjny partii między równoczesnymi żądaniami, pozwalając żądaniu transakcyjnemu dowolnego klienta zakłócać zapisy do bazy danych innych klientów. W przypadku PostgreSQL lub zestawów replik i klastrów shardowanych MongoDB potwierdzone zapisy innych klientów są wycofywane, jeśli partia zawiedzie, a transakcje PostgreSQL mogą pozostać otwarte bezterminowo, powodując niepowodzenie kolejnych zapisów.
- CVE-2026-109302Niskie
Podatność w Parse Server umożliwia nieuwierzytelnionym atakującym, posiadającym publiczne Application Id i klucz klienta, odtworzenie zapytania introspection z pamięci podręcznej Apollo Server, aby uzyskać schemat GraphQL, w tym prywatne nazwy klas i pól. Kontrola introspection jest stosowana tylko do bezpośrednio przesyłanych zapytań, nie do tych z pamięci podręcznej.
- CVE-2026-109301Średnie
Parse Server przed wersją 8.6.95 oraz w gałęzi 9.0.0 przed 9.10.2-alpha.3 nie rozwiązuje referencji do plików pozbawionych URL przed przekazaniem obiektów do wyzwalaczy Cloud Code i LiveQuery, co powoduje nieprzechwycony wyjątek i zakończenie procesu. Atakujący, którzy mogą zapisywać do klasy z wyzwalaczami Cloud Code (save, find, delete) lub włączonym LiveQuery, w tym nieuwierzytelnieni użytkownicy, jeśli publiczny zapis lub rejestracja jest dozwolona, mogą zawiesić serwer lub przerwać kolejne żądania.
- CVE-2026-34532Krytyczne
Parse Server przed wersjami 8.6.67 i 9.7.0-alpha.11 zawiera podatność, w której atakujący może ominąć kontrolę dostępu walidatora Cloud Function, dodając "prototype.constructor" do nazwy funkcji w URL. Powoduje to pominięcie całej kontroli dostępu, umożliwiając nieuwierzytelnionym wywołanie funkcji chronionych walidatorami.
- CVE-2026-27804Krytyczne
Parse Server przed wersjami 8.6.3 i 9.1.1-alpha.4 jest podatny na atak, w którym nieautoryzowany napastnik może sfałszować token uwierzytelniający Google z algorytmem 'alg: "none"', co pozwala na logowanie się jako dowolny użytkownik powiązany z kontem Google bez znajomości jego danych uwierzytelniających.
- CVE-2025-67727Krytyczne
Parse Server to open source backend, który można wdrożyć na dowolnej infrastrukturze działającej na Node.js. W wersjach przed 8.6.0-alpha.2, przepływ pracy GitHub CI jest wyzwalany w sposób, który przyznaje podwyższone uprawnienia GitHub Actions, dając dostęp do sekretów GitHub i uprawnień zapisu zdefiniowanych w przepływie pracy. Kod z forka lub skrypty cyklu życia mogą być potencjalnie uwzględnione. Dotyczy to tylko infrastruktury CI/CD repozytorium, w tym publicznych forków GitHub z włączonym GitHub Actions. Problem został naprawiony w wersji 8.6.0-alpha.2 oraz commitach 6b9f896 i e3d27fe.
- CVE-2023-36475Krytyczne
Parse Server przed wersjami 5.5.2 i 6.2.1 jest podatny na zanieczyszczenie prototypu, co może prowadzić do zdalnego wykonania kodu poprzez parser BSON MongoDB.
- CVE-2026-109303Średnie
Parse Server przed wersją 8.6.93 oraz w gałęzi 9.0.0 przed 9.10.1-alpha.13 nie egzekwuje ochrony pól chronionych (authenticated, role lub grupy per-user) na zapytaniach count używających operatora $relatedTo, ujawniając rozmiar chronionych pól Relation. Uwierzytelniony użytkownik, który może odczytać właściciela obiektu, może połączyć liczby z ograniczeniem objectId jako wyrocznię członkostwa, aby ujawnić poufne członkostwa, takie jak prywatne grupy lub listy blokowane.
- CVE-2026-105828Średnie
Parse Server w wersjach od 8.2.2 do 8.6.92 oraz od 9.0.0 do 9.10.1-alpha.12 zawiera podatność ujawnienia informacji, w której komunikaty błędów walidacji GraphQL ujawniają ukryte nazwy klas, gdy publiczna introspekcja jest wyłączona. Nieuwierzytelnieni atakujący posiadający jedynie publiczny Application Id mogą wysyłać spreparowane operacje wywołujące błędy nieznanego argumentu lub nieprawidłowej wartości enum, aby poznać klasy docelowe wskaźników i relacji.
- CVE-2026-101042Średnie
Parse Server w wersjach >= 9.0.0 < 9.10.1-alpha.10 i >= 8.0.2 < 8.6.91 nie weryfikuje kodu autoryzacyjnego u dostawcy zewnętrznego podczas logowania z nazwą użytkownika i hasłem, gdy używane są adaptery uwierzytelniania oparte na kodzie (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo). Umożliwia to uwierzytelnionemu użytkownikowi o niskich uprawnieniach dołączenie dowolnej, niezweryfikowanej tożsamości dostawcy do swojego konta, a także przejęcie konta ofiary, która później zaloguje się przez tego dostawcę. Problem został naprawiony w wersjach 9.10.1-alpha.10 i 8.6.91.
Oryginalny opis (angielski, źródło NVD)
Parse Server is affected by a stored cross-site scripting (XSS) vulnerability in versions >= 9.0.0, < 9.10.0-alpha.2 and <= 8.6.83. When an uploaded file's extension is not recognized by the mime package, Parse Server preserves the client-supplied Content-Type. A malformed Content-Type that is not a valid type/subtype media type (e.g., 'image', 'image/', or 'image//svg+xml') bypasses the fileUpload.fileExtensions blocklist and is stored unchanged. On storage adapters that persist and serve the uploaded Content-Type (such as Amazon S3, Google Cloud Storage, or Azure Blob Storage), a browser cannot parse the malformed value and falls back to MIME-sniffing; a file whose body begins with HTML is rendered as HTML, executing embedded script in the application's origin against other users who open the file URL. The default GridFS storage adapter is not affected. Fixed in 9.10.0-alpha.2 and 8.6.84.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS