Parse Server vulnérable à une injection SQL via l'opération `Increment` sur un champ d'objet imbriqué dans PostgreSQL

L'impact de cette vulnérabilité est significatif. Un attaquant capable d'envoyer des requêtes d'écriture à l'API REST de Parse Server peut exploiter cette injection SQL pour lire n'importe quelle donnée stockée dans la base de données PostgreSQL. Cette lecture de données est possible même en contournant les contrôles d'accès (CLP) et les ACLs, ce qui signifie que des informations sensibles, telles que les données utilisateur, les configurations et les données d'application, sont potentiellement exposées. L'attaquant pourrait également potentiellement modifier ou supprimer des données, bien que la description se concentre principalement sur la lecture. Cette vulnérabilité rappelle les risques associés aux injections SQL non paramétrées, où les entrées utilisateur sont directement intégrées dans les requêtes SQL sans validation appropriée.

Organizations and developers using Parse Server for backend-as-a-service (BaaS) applications, particularly those relying on PostgreSQL for data storage, are at risk. Deployments with less stringent input validation or weaker access control policies are especially vulnerable. Shared hosting environments where multiple applications share the same Parse Server instance could also be affected, potentially impacting multiple tenants.

• nodejs / server: Monitor Parse Server logs for unusual SQL query patterns, particularly those involving dot notation in nested object fields. Look for queries containing SQL keywords or functions that are not expected in legitimate Increment operations.

grep -i 'SELECT|INSERT|UPDATE|DELETE' /var/log/parse-server.log

• database (postgresql): Review PostgreSQL audit logs for suspicious SQL queries originating from the Parse Server application. Look for queries that bypass access controls or attempt to access sensitive data.

SELECT query FROM pg_stat_activity WHERE datname = 'your_database_name';

• generic web: If Parse Server is exposed via a web interface, attempt to send Increment requests with non-numeric values in the amount field and monitor the server's response for error messages or unexpected behavior.

1. 2026-03-11Disclosure

   disclosure

1. Réservé2026-03-09
2. Publiée2026-03-11
3. Modifiée2026-03-13
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Parse Server vers la version 9.6.0-alpha.3 ou ultérieure, qui inclut une correction pour cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures de contournement peuvent être envisagées. Il est crucial de valider et de nettoyer toutes les entrées utilisateur avant de les utiliser dans les requêtes SQL. L'utilisation de requêtes paramétrées est fortement recommandée pour éviter l'injection SQL. En attendant la mise à jour, une configuration stricte des ACLs et des contrôles d'accès peut aider à limiter l'impact potentiel d'une exploitation réussie. Après la mise à jour, vérifiez l'intégrité de la base de données et assurez-vous que les contrôles d'accès sont correctement configurés.