CVE-2026-31871

SQL Injection w Parse Server (PostgreSQL) — operacje Increment na polach zagnieżdżonych

CVSS 9.3v4.0pub. 2026-03-11upd. 2026-03-13

Parse Server w wersjach wcześniejszych niż 9.6.0-alpha.5 i 8.6.31 zawiera podatność SQL injection w adapterze PostgreSQL podczas przetwarzania operacji Increment na zagnieżdżonych polach obiektów z użyciem notacji kropkowej. Atakujący może wstrzyknąć dowolny kod SQL poprzez spreparowaną nazwę podklucza, co zagraża poufności i integralności całej bazy danych.

▸ Pokaż oryginał (EN)

Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.6.0-alpha.5 and 8.6.31, a SQL injection vulnerability exists in the PostgreSQL storage adapter when processing Increment operations on nested object fields using dot notation (e.g., stats.counter). The sub-key name is interpolated directly into SQL string literals without escaping. An attacker who can send write requests to the Parse Server REST API can inject arbitrary SQL via a crafted sub-key name containing single quotes, potentially executing commands or reading data from the database, bypassing CLPs and ACLs. Only Postgres deployments are affected. This vulnerability is fixed in 9.6.0-alpha.5 and 8.6.31.

🤖 Analiza AI

Jak działa

Podatność wynika z bezpośredniej interpolacji nazwy podklucza (np. fragmentu po kropce w wyrażeniach typu stats.counter) do ciągów znaków zapytania SQL bez uprzedniego escapowania. Atakujący, który ma możliwość wysyłania żądań zapisu do REST API Parse Server, może umieścić w nazwie podklucza pojedynczy cudzysłów lub inny specjalny znak SQL, co powoduje interpretację danych wejściowych jako kodu SQL. W efekcie możliwe jest wykonywanie dowolnych poleceń na bazie danych lub odczyt jej zawartości, z pominięciem mechanizmów kontroli dostępu Class Level Permissions (CLP) i Access Control Lists (ACL).

Skutki

Atakujący może wykonywać dowolne zapytania SQL na bazie danych PostgreSQL, uzyskując nieautoryzowany dostęp do przechowywanych danych lub modyfikując je, z całkowitym pominięciem skonfigurowanych reguł CLP i ACL.

Mitygacja

Należy zaktualizować Parse Server do wersji 8.6.31 (gałąź stabilna) lub 9.6.0-alpha.5 (gałąź alpha). Patche dostępne są w oficjalnym repozytorium projektu na GitHub. Wdrożenia korzystające z adapterów innych niż PostgreSQL nie są podatne.

Kogo dotyczy

Parse Server (Parseplatform parse-server) w wersjach wcześniejszych niż 8.6.31 (gałąź 8.x) oraz wcześniejszych niż 9.6.0-alpha.5 (gałąź 9.x), wyłącznie przy użyciu adaptera PostgreSQL.

Uwagi

Podatność dotyczy wyłącznie instancji Parse Server skonfigurowanych z adapterem PostgreSQL. Wdrożenia oparte na innych silnikach baz danych (np. MongoDB) nie są narażone.

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X