Parse Server は URI 形式のファイルアップロードにおいて、サーバーサイドリクエストフォージェリ (SSRF) に脆弱です

このSSRF脆弱性を悪用されると、攻撃者はParse Serverがアクセスできる任意のURIに対してリクエストを送信できます。これにより、内部ネットワークリソースへの不正アクセス、機密情報の窃取、さらにはサーバーのクラッシュを引き起こす可能性があります。攻撃者は、Parse Serverがアクセスできる内部サービスやAPIを特定し、それらを悪用してシステムへの侵入を試みる可能性があります。この脆弱性は、Parse Serverが外部からのリクエストを処理する際に、信頼できないURIからのデータを取得する際に発生します。

Organizations using Parse Server for backend services, particularly those handling sensitive data or integrating with internal systems, are at risk. Deployments relying on file upload functionality and those with less stringent URI validation are especially vulnerable. Shared hosting environments using Parse Server may also be affected.

• nodejs / server: Monitor Parse Server logs for outbound requests to unexpected or unauthorized URIs. Use journalctl to filter for errors related to file uploads and URI processing.

journalctl -u parse-server --grep 'uri' --grep 'error'

• generic web: Use curl or wget to check for exposed endpoints related to file uploads and observe the responses for signs of SSRF activity.

curl -v 'https://your-parse-server/files/upload?uri=http://internal-system/'

1. 2025-11-05Disclosure

   disclosure

1. 予約済み2025-11-03
2. 公開日2025-11-05
3. 更新日2025-11-12
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、Parse Serverをバージョン7.5.4以降にアップグレードすることを推奨します。アップグレードが困難な場合は、ファイルアップロード機能の使用を一時的に停止するか、URIの検証を厳格化するなどの回避策を検討してください。WAF（Web Application Firewall）を導入し、SSRF攻撃を検知・防御するルールを設定することも有効です。また、Parse Serverのログを監視し、異常なURIへのアクセスがないか確認することも重要です。