CVE-2026-119570

Parse Server przed 8.6.109 oraz 9.0.0 przed 9.10.6-alpha.1 zwraca przechowywane wartości pól w odpowiedziach aktualizacji obiektów bez sprawdzania uprawnień odczytu. Klienci, których uprawnienia klasowe lub ACL obiektu pozwalają na aktualizację, ale nie na odczyt, mogą zobaczyć dane obiektu, w tym wyniki operacji atomowych, wartości ustawiane przez Cloud Code oraz całe pola nadrzędne przy notacji kropkowej.

Parse Server od wersji 9.7.0 przed 9.10.5-alpha.10 zawiera błąd autoryzacji, który stosuje aktualizacje _Installation adresowane przez identyfikator obiektu do instalacji wskazanej w nagłówku X-Parse-Installation-Id. Gdy włączono protectedFieldsTriggerExempt, atakujący znający identyfikator obiektu innej instalacji może spowodować, że trigger beforeSave przetworzy chronione pola tej instalacji podczas zapisu w innym miejscu.

Parse Server przed wersjami 8.6.67 i 9.7.0-alpha.11 zawiera podatność, w której atakujący może ominąć kontrolę dostępu walidatora Cloud Function, dodając "prototype.constructor" do nazwy funkcji w URL. Powoduje to pominięcie całej kontroli dostępu, umożliwiając nieuwierzytelnionym wywołanie funkcji chronionych walidatorami.

Parse Server przed wersjami 8.6.3 i 9.1.1-alpha.4 jest podatny na atak, w którym nieautoryzowany napastnik może sfałszować token uwierzytelniający Google z algorytmem 'alg: "none"', co pozwala na logowanie się jako dowolny użytkownik powiązany z kontem Google bez znajomości jego danych uwierzytelniających.

Parse Server to open source backend, który można wdrożyć na dowolnej infrastrukturze działającej na Node.js. W wersjach przed 8.6.0-alpha.2, przepływ pracy GitHub CI jest wyzwalany w sposób, który przyznaje podwyższone uprawnienia GitHub Actions, dając dostęp do sekretów GitHub i uprawnień zapisu zdefiniowanych w przepływie pracy. Kod z forka lub skrypty cyklu życia mogą być potencjalnie uwzględnione. Dotyczy to tylko infrastruktury CI/CD repozytorium, w tym publicznych forków GitHub z włączonym GitHub Actions. Problem został naprawiony w wersji 8.6.0-alpha.2 oraz commitach 6b9f896 i e3d27fe.

Parse Server przed wersjami 5.5.2 i 6.2.1 jest podatny na zanieczyszczenie prototypu, co może prowadzić do zdalnego wykonania kodu poprzez parser BSON MongoDB.

Parse Server przed wersją 8.6.108 oraz 9.0.0 przed 9.10.5-alpha.9 zawiera podatność prototype pollution, ponieważ klucze kontrolowane przez użytkownika są rozwijane do obiektów bez sprawdzania własnych właściwości. Klienci z prawem zapisu do klasy mogą wysyłać klucze pól w notacji kropkowej lub nazwy wpisów ACL pasujące do wbudowanych członków obiektu, aby uszkodzić wbudowane funkcje, powodując awarię wszystkich żądań do czasu restartu serwera.

Parse Server przed 8.6.106 oraz 9.0.0 przed 9.10.5-alpha.7 nieprawidłowo obsługuje klucze notacji kropkowej z wartościami null lub undefined podczas budowania zapisywanego obiektu, więc zapis jest przechowywany, ale zwraca błąd i pomija wyzwalacze afterSave oraz zdarzenia LiveQuery. Klient z prawem zapisu może to wykorzystać do obejścia logowania audytowego, powiadomień i aktualizacji danych pochodnych.

Parse Server przed 8.6.107 oraz 9.0.0 przed 9.10.5-alpha.8 zwraca przechowywaną wartość pola przywróconego przez wyzwalacz beforeSave w odpowiedziach na aktualizację obiektu, nawet klientom bez prawa odczytu tego obiektu lub pola. Uwierzytelniony klient mogący aktualizować obiekt, którego wyzwalacz beforeSave przywraca pole (poprzez revert() lub walidator constant: true), może odczytać chronione wartości, w tym surowe authData MFA własnego konta, gdy włączone jest protectedFieldsTriggerExempt.

Parse Server w wersjach przed 8.6.105 oraz 9.0.0 przed 9.10.5-alpha.6 nie waliduje referencji do obiektu właściciela w zapytaniach relacji $relatedTo, więc podanie operatora zapytania zamiast identyfikatora obiektu omija kontrolę ACL obiektu właściciela. Klient z prawem odczytu przynajmniej jednego obiektu klasy właściciela może ujawnić, które czytelne obiekty są powiązane z obiektami właściciela, których nie może odczytać.