Parse Server vulnerável a Injeção SQL (SQL Injection) via operação `Increment` em campo de objeto aninhado no PostgreSQL

A exploração bem-sucedida desta vulnerabilidade permite a um atacante ler dados sensíveis do banco de dados Parse Server. Como a injeção SQL ignora os Controles de Lista de Acesso (ACLs) e os Controles de Lista de Colunas (CLPs), o atacante pode acessar informações que normalmente estariam protegidas. Isso inclui dados de usuários, informações de aplicativos e outros dados armazenados no banco de dados. O impacto é significativo, pois pode levar à exposição de dados confidenciais e comprometimento da integridade do sistema. Não há precedentes públicos de exploração ativa, mas a facilidade de exploração, combinada com a criticidade dos dados armazenados no Parse Server, torna esta vulnerabilidade uma prioridade alta.

Organizations and developers using Parse Server for backend-as-a-service (BaaS) applications, particularly those relying on PostgreSQL for data storage, are at risk. Deployments with less stringent input validation or weaker access control policies are especially vulnerable. Shared hosting environments where multiple applications share the same Parse Server instance could also be affected, potentially impacting multiple tenants.

• nodejs / server: Monitor Parse Server logs for unusual SQL query patterns, particularly those involving dot notation in nested object fields. Look for queries containing SQL keywords or functions that are not expected in legitimate Increment operations.

grep -i 'SELECT|INSERT|UPDATE|DELETE' /var/log/parse-server.log

• database (postgresql): Review PostgreSQL audit logs for suspicious SQL queries originating from the Parse Server application. Look for queries that bypass access controls or attempt to access sensitive data.

SELECT query FROM pg_stat_activity WHERE datname = 'your_database_name';

• generic web: If Parse Server is exposed via a web interface, attempt to send Increment requests with non-numeric values in the amount field and monitor the server's response for error messages or unexpected behavior.

1. 2026-03-11Disclosure

   disclosure

1. Reservado2026-03-09
2. Publicada2026-03-11
3. Modificada2026-03-13
4. EPSS atualizado2026-03-23

A mitigação primária é atualizar o Parse Server para a versão 9.6.0-alpha.3 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, considere implementar uma Web Application Firewall (WAF) com regras para detectar e bloquear tentativas de injeção SQL. Além disso, revise e reforce os controles de acesso (ACLs) para garantir que os usuários tenham apenas o acesso necessário aos dados. Monitore os logs do Parse Server em busca de padrões suspeitos de injeção SQL. Após a atualização, confirme a correção executando testes de penetração ou revisando o código para garantir que a vulnerabilidade foi efetivamente corrigida.