Parse Server vulnerable a (SQL Injection) a través del nombre de sub-clave en notación de puntos en la operación `Increment` en PostgreSQL

La inyección SQL en Parse Server permite a un atacante comprometer la base de datos PostgreSQL subyacente. Al manipular nombres de subclaves en operaciones de incremento, un atacante puede inyectar sentencias SQL maliciosas que se ejecutarán directamente en la base de datos. Esto podría resultar en la extracción de información confidencial, la modificación de datos, la ejecución de comandos del sistema operativo (dependiendo de la configuración de la base de datos) y la elusión de los controles de acceso (CLPs y ACLs). La vulnerabilidad es particularmente preocupante porque permite a los atacantes saltarse las medidas de seguridad diseñadas para proteger los datos de Parse Server, lo que podría tener consecuencias graves para la confidencialidad, integridad y disponibilidad de los datos almacenados.

Organizations utilizing Parse Server with PostgreSQL as their storage adapter are at risk, particularly those running versions prior to 9.6.0-alpha.5. Shared hosting environments where Parse Server instances are deployed alongside other applications are also at increased risk due to the potential for cross-tenant attacks.

• nodejs / server:

# Check for vulnerable Parse Server versions
ps aux | grep 'node parse-server' | grep -i '9.6.0-alpha.5'

• database (postgresql):

-- Check for suspicious SQL queries in the PostgreSQL logs
SELECT query FROM pg_stat_statements WHERE query LIKE '%'; -- Look for queries containing single quotes or unusual SQL syntax

• generic web:

# Check Parse Server API endpoints for unexpected behavior
curl -X POST -d '{"Increment":{"stats.counter":"'"}"' http://your-parse-server/ | grep -i "error"

1. 2026-03-11Disclosure

   disclosure

1. Reservado2026-03-09
2. Publicada2026-03-11
3. Modificada2026-03-13
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar Parse Server a la versión 9.6.0-alpha.5 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización inmediata no es posible, se recomienda restringir el acceso a la API REST de Parse Server para limitar la superficie de ataque. Implementar reglas de firewall o WAF (Web Application Firewall) que bloqueen solicitudes con caracteres sospechosos en los nombres de las subclaves puede proporcionar una capa adicional de protección. Además, se recomienda revisar y fortalecer la configuración de la base de datos PostgreSQL para minimizar el impacto potencial de una explotación exitosa.