PT-2025-51774 · Unknown · Parse Server

CVE-2025-68150 · Publicado 2025-12-16 · Atualizado 2026-01-02

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.3

Alta

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Versões do Parse Server anteriores a 8.6.2 Versões do Parse Server anteriores a 9.1.1-alpha.1

Descrição O Parse Server, um backend implantável em infraestrutura Node.js, contém uma falha em seu adaptador de autenticação do Instagram. Antes das versões 8.6.2 e 9.1.1-alpha.1, o parâmetro apiURL dentro de authData poderia ser manipulado por clientes para especificar um URL de API personalizado. Isso permite ataques de Falsificação de Solicitação do Lado do Servidor (SSRF) e potencialmente contorna a autenticação se endpoints maliciosos retornarem respostas falsificadas, validando usuários não autorizados. O problema foi resolvido definindo fixamente o URL da Instagram Graph API (https://graph.instagram.com) e ignorando os valores de apiURL fornecidos pelo cliente nas versões 8.6.2 e 9.1.1-alpha.1. O componente vulnerável é o adaptador de autenticação do Instagram.

Recomendações Atualize o Parse Server para a versão 8.6.2 ou posterior. Atualize o Parse Server para a versão 9.1.1-alpha.1 ou posterior.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BIT-PARSE-2025-68150

CVE-2025-68150

GHSA-3F5F-XGRJ-97PF

Produtos afetados

Parse Server

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/68xxx/CVE-2025-68150.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/pull/9988 · Correção
• https://github.com/parse-community/parse-server/pull/9989 · Correção
• https://github.com/parse-community/parse-server/security/advisories/GHSA-3f5f-xgrj-97pf · Nota
• https://osv.dev/vulnerability/CVE-2025-68150 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2001121069676007731 · Publicação no Twitter
• https://t.me/CVEtracker/39998 · Publicação no Telegram
• https://t.me/cveNotify/147546 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-68150 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-3f5f-xgrj-97pf · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2001165571006607477 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2001350871695941790 · Publicação no Twitter