Parse Server は、PostgreSQL におけるネストされたオブジェクトフィールドの `Increment` 演算経由で SQL インジェクションの脆弱性があります

このSQLインジェクション脆弱性は、Parse Server REST APIへの書き込みリクエストを送信できる攻撃者によって悪用される可能性があります。攻撃者は、ドット表記（例：stats.counter）を使用したネストされたオブジェクトフィールドのIncrement操作中に、SQLクエリに悪意のあるSQLサブクエリを挿入できます。これにより、CLP（Column-Level Permissions）やACL（Access Control Lists）をバイパスし、データベース内のあらゆるデータを読み取ることが可能になります。MongoDB環境では影響を受けません。この脆弱性は、機密情報の漏洩、データの改ざん、さらにはデータベースサーバーの完全な制御につながる可能性があります。

Organizations and developers using Parse Server for backend-as-a-service (BaaS) applications, particularly those relying on PostgreSQL for data storage, are at risk. Deployments with less stringent input validation or weaker access control policies are especially vulnerable. Shared hosting environments where multiple applications share the same Parse Server instance could also be affected, potentially impacting multiple tenants.

• nodejs / server: Monitor Parse Server logs for unusual SQL query patterns, particularly those involving dot notation in nested object fields. Look for queries containing SQL keywords or functions that are not expected in legitimate Increment operations.

grep -i 'SELECT|INSERT|UPDATE|DELETE' /var/log/parse-server.log

• database (postgresql): Review PostgreSQL audit logs for suspicious SQL queries originating from the Parse Server application. Look for queries that bypass access controls or attempt to access sensitive data.

SELECT query FROM pg_stat_activity WHERE datname = 'your_database_name';

• generic web: If Parse Server is exposed via a web interface, attempt to send Increment requests with non-numeric values in the amount field and monitor the server's response for error messages or unexpected behavior.

1. 2026-03-11Disclosure

   disclosure

1. 予約済み2026-03-09
2. 公開日2026-03-11
3. 更新日2026-03-13
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、Parse Serverをバージョン9.6.0-alpha.3以降にアップデートすることを強く推奨します。アップデートが一時的にシステムに影響を与える場合は、ロールバックを検討してください。WAF（Web Application Firewall）やリバースプロキシを導入し、SQLインジェクション攻撃を検知・防御するルールを設定することも有効です。また、入力値の型チェックを強化し、数値以外の値を拒否するよう設定を変更することで、攻撃のリスクを軽減できます。