p PatchFirst

CVE-2026-33498

CVE-2026-33498 · Parse Server: Query condition depth bypass via pre-validation transform pipeline

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.55 and 9.6.0-alpha.44, an attacker can send an unauthenticated HTTP request with a deeply nested query containing logical operators to permanently hang the Parse Server process. The server becomes completely unresponsive and must be manually restarted. This is a bypass of the fix for CVE-2026-32944. This issue has been patched in versions 8.6.55 and 9.6.0-alpha.44.

CVSS 8.7 · Высокий · EPSS 0,5% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • parse-server

    Версии
    • < 8.6.55: Затронуто
    • >= 9.0.0, < 9.6.0-alpha.44: Затронуто

    Нет опубликованного исправления

  • parse-server npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 9.0.0, < 9.6.0-alpha.44

    Обновитесь до 9.6.0-alpha.44

  • parse-server npm

    Затронутые диапазоны версий
    • SEMVER: < 8.6.55

    Обновитесь до 8.6.55

Первоисточники

Проверьте свой сервер →