PT-2026-24151 · Unknown · Parse Server

Tinkanet · Publicado 2026-03-09 · Atualizado 2026-03-18 · CVE-2026-30925

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.2

Alta

Vetor base

AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 9.5.0-alpha.14 Parse Server versões anteriores a 8.6.11

Descrição Um padrão $regex elaborado dentro de uma assinatura LiveQuery pode causar backtracking catastrófico, bloqueando o loop de eventos do Node.js e tornando todo o Parse Server inoperável. Um invasor precisa apenas do ID do aplicativo e da chave JavaScript, geralmente públicos em aplicações cliente, para explorar essa vulnerabilidade. Isso afeta implantações do Parse Server com LiveQuery habilitado, especificamente a correspondência de assinaturas LiveQuery, que avalia regex em JavaScript no loop de eventos do Node.js. Consultas REST e GraphQL normais não são afetadas, já que sua avaliação de regex ocorre dentro do mecanismo do banco de dados.

Recomendações Atualize para o Parse Server versão 9.5.0-alpha.14 ou posterior. Atualize para o Parse Server versão 8.6.11 ou posterior.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-1333

Identificadores relacionados

BIT-PARSE-2026-30925

CVE-2026-30925

GHSA-MF3J-86QX-CQ5J

Produtos afetados

Parse Server

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/30xxx/CVE-2026-30925.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/security/advisories/GHSA-mf3j-86qx-cq5j · Aviso do Fabricante
• https://github.com/parse-community/parse-server/releases/tag/8.6.11 · Nota
• https://github.com/parse-community/parse-server/releases/tag/9.5.0-alpha.14 · Nota
• https://twitter.com/cyberbivash/status/2031177600547062268 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-mf3j-86qx-cq5j · Aviso do Fabricante
• https://twitter.com/infoflowcloud/status/2031295558833349017 · Publicação no Twitter
• https://t.me/CVEtracker/46957 · Publicação no Telegram
• https://twitter.com/dailycve/status/2034286816686453239 · Publicação no Twitter
• https://t.me/cveNotify/155165 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-parse-2026-30925 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2031438379712205201 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2031294593237659709 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-30925 · Aviso do Fabricante