PT-2026-30320 · Amazon+2 · S3+2

Offset · Publicado 2026-04-04 · Atualizado 2026-04-08 · CVE-2026-35200

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:R/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Parse Server versões anteriores a 8.6.73 e 9.7.1-alpha.4

Description Um arquivo pode ser carregado com uma extensão de nome de arquivo que passa na lista de permissões de extensão de nome de arquivo (por exemplo, .txt), mas com um cabeçalho Content-Type que difere da extensão (por exemplo, text/html). O Content-Type é passado para o adaptador de armazenamento sem validação de consistência. Adaptadores de armazenamento que armazenam e servem o Content-Type fornecido (como S3 ou GCS) servem o arquivo com o Content-Type incompatível. O adaptador GridFS padrão não é afetado porque deriva o Content-Type do nome do arquivo no momento da entrega.

Recommendations Atualize para a versão 8.6.73 ou 9.7.1-alpha.4 do Parse Server.

Correção

Enumeração de Fraquezas

CWE-436

Identificadores relacionados

BIT-PARSE-2026-35200

CVE-2026-35200

GHSA-VR5F-2R24-W5HC

Produtos afetados

Gcs

Parse Server

S3

Referências · 8

• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/pull/10384 · Correção
• https://github.com/parse-community/parse-server/security/advisories/GHSA-vr5f-2r24-w5hc · Aviso do Fabricante
• https://github.com/parse-community/parse-server/pull/10383 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-35200 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-vr5f-2r24-w5hc · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-parse-2026-35200 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2041250710247940455 · Publicação no Twitter