Parse Server Vulnerável a Server-Side Request Forgery (SSRF) no Upload de Arquivos via Formato URI

A exploração bem-sucedida desta vulnerabilidade SSRF permite que um atacante execute requisições para qualquer URI configurada no parâmetro uri durante o upload de arquivos. Isso pode levar ao acesso não autorizado a recursos internos, como serviços de nuvem, bancos de dados ou APIs, que normalmente não seriam acessíveis externamente. O impacto pode variar desde a coleta de informações sensíveis até a execução de ações em nome do servidor Parse, dependendo dos recursos acessíveis através da URI maliciosa. A falha do servidor ao receber a resposta impede o armazenamento do arquivo, mas a requisição ainda é executada, representando um risco significativo.

Organizations using Parse Server for backend services, particularly those handling sensitive data or integrating with internal systems, are at risk. Deployments relying on file upload functionality and those with less stringent URI validation are especially vulnerable. Shared hosting environments using Parse Server may also be affected.

• nodejs / server: Monitor Parse Server logs for outbound requests to unexpected or unauthorized URIs. Use journalctl to filter for errors related to file uploads and URI processing.

journalctl -u parse-server --grep 'uri' --grep 'error'

• generic web: Use curl or wget to check for exposed endpoints related to file uploads and observe the responses for signs of SSRF activity.

curl -v 'https://your-parse-server/files/upload?uri=http://internal-system/'

1. 2025-11-05Disclosure

   disclosure

1. Reservado2025-11-03
2. Publicada2025-11-05
3. Modificada2025-11-12
4. EPSS atualizado2026-03-23

A mitigação primária para esta vulnerabilidade é a atualização para a versão 7.5.4 do Parse Server, que inclui a correção. Se a atualização imediata não for possível, considere implementar regras de firewall ou proxy para restringir o acesso à rede do Parse Server a apenas os recursos necessários. Além disso, valide e sanitize rigorosamente todos os dados de entrada, especialmente o parâmetro uri, para evitar a injeção de URIs maliciosas. Monitore os logs do Parse Server em busca de requisições suspeitas para URIs externas.