PT-2026-37307 · Unknown · Parse Server

Adrgs · Publicado 2026-05-05 · Atualizado 2026-05-14 · CVE-2026-43930

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.76 Parse Server versões anteriores a 9.9.0-alpha.2

Description Existe uma condição de corrida (race condition) no caminho de login de senha de uso único (OTP) de MFA via SMS. Isso permite que duas solicitações simultâneas ao endpoint '/login' usando o mesmo OTP tenham sucesso e recebam tokens de sessão válidos, violando a propriedade de uso único do OTP. Para que isso seja explorado, um invasor deve possuir a senha da vítima e interceptar o OTP de SMS ativo por meio de métodos como SIM swap, espelhamento de rede ou phishing relay, e então executar a solicitação simultaneamente ao usuário legítimo.

Recommendations Atualizar para a versão 8.6.76. Atualizar para a versão 9.9.0-alpha.2. Desativar o MFA via SMS e utilizar TOTP em seu lugar. Implementar um limitador de taxa (rate limiter) no endpoint '/login' para reduzir a capacidade de rajadas de solicitações simultâneas.

Correção

Race Condition

Enumeração de Fraquezas

CWE-362

Identificadores relacionados

BIT-PARSE-2026-43930

CVE-2026-43930

GHSA-JPQ4-7FMQ-Q5FJ

Produtos afetados

Parse Server

Referências · 8

• https://github.com/parse-community/parse-server/pull/10448 · Correção
• https://github.com/parse-community/parse-server/pull/10449 · Correção
• https://github.com/parse-community/parse-server/security/advisories/GHSA-jpq4-7fmq-q5fj · Aviso do Fabricante
• https://github.com/parse-community/parse-server · Nota
• https://osv.dev/vulnerability/GHSA-jpq4-7fmq-q5fj · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-parse-2026-43930 · Aviso do Fabricante
• https://t.me/CVEtracker/53513 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-43930 · Nota de Segurança