Parse Server vulnerable a inyección SQL (SQL Injection) a través de la operación `Increment` en un campo de objeto anidado en PostgreSQL

La inyección SQL en Parse Server permite a un atacante con capacidad para enviar solicitudes de escritura a la API REST de Parse Server, leer cualquier dato de la base de datos PostgreSQL. Esto se logra inyectando subconsultas SQL arbitrarias directamente en la consulta, sin validación de tipo ni parametrización del valor amount. La gravedad de esta vulnerabilidad radica en la capacidad de eludir los Controles de Lista de Control de Acceso (CLPs) y las Listas de Control de Acceso (ACLs), lo que significa que un atacante puede acceder a información confidencial independientemente de los permisos configurados. Esta vulnerabilidad es particularmente preocupante en entornos donde Parse Server se utiliza para almacenar datos sensibles de aplicaciones móviles o web.

Organizations and developers using Parse Server for backend-as-a-service (BaaS) applications, particularly those relying on PostgreSQL for data storage, are at risk. Deployments with less stringent input validation or weaker access control policies are especially vulnerable. Shared hosting environments where multiple applications share the same Parse Server instance could also be affected, potentially impacting multiple tenants.

• nodejs / server: Monitor Parse Server logs for unusual SQL query patterns, particularly those involving dot notation in nested object fields. Look for queries containing SQL keywords or functions that are not expected in legitimate Increment operations.

grep -i 'SELECT|INSERT|UPDATE|DELETE' /var/log/parse-server.log

• database (postgresql): Review PostgreSQL audit logs for suspicious SQL queries originating from the Parse Server application. Look for queries that bypass access controls or attempt to access sensitive data.

SELECT query FROM pg_stat_activity WHERE datname = 'your_database_name';

• generic web: If Parse Server is exposed via a web interface, attempt to send Increment requests with non-numeric values in the amount field and monitor the server's response for error messages or unexpected behavior.

1. 2026-03-11Disclosure

   disclosure

1. Reservado2026-03-09
2. Publicada2026-03-11
3. Modificada2026-03-13
4. EPSS actualizado2026-03-23

La solución principal es actualizar Parse Server a la versión 9.6.0-alpha.3 o posterior, que incluye la corrección de la vulnerabilidad. Si la actualización inmediata no es posible, se recomienda implementar una validación de tipo estricta en el valor amount antes de su uso en la consulta SQL. Esta validación debe rechazar cualquier valor que no sea un número. Además, se puede considerar la implementación de reglas en un Web Application Firewall (WAF) o proxy para filtrar solicitudes sospechosas que contengan patrones de inyección SQL. La parametrización adecuada de las consultas SQL es una práctica fundamental para prevenir este tipo de vulnerabilidades.