平台
nodejs
组件
parse-server
修复版本
9.0.1
8.6.29
8.6.29
9.6.1
9.6.0-alpha.2
CVE-2026-31840 是一种 SQL 注入漏洞，影响 Parse Server。攻击者可以通过在 sort 查询参数中使用点表示法字段名，将恶意 SQL 代码注入到 PostgreSQL 数据库中。此漏洞仅影响使用 PostgreSQL 数据库的 Parse Server 部署。建议立即升级到 9.6.0-alpha.2 版本以修复此问题。
攻击者可以利用此漏洞执行未经授权的数据库操作，例如读取、修改或删除敏感数据。通过精心构造的 SQL 注入攻击，攻击者可能能够绕过身份验证机制，访问数据库中的所有数据。此外，攻击者还可能利用此漏洞执行任意代码，从而完全控制 Parse Server 应用程序。由于 Parse Server 通常用于存储用户数据和应用程序配置，因此此漏洞可能导致严重的数据泄露和安全事件。
该漏洞已公开披露，且影响范围广泛。目前尚无公开的利用程序，但由于 SQL 注入漏洞的普遍性，预计未来可能会出现利用程序。建议密切关注安全社区的动态，并及时采取必要的安全措施。目前尚未添加到 CISA KEV 目录。
Organizations and developers utilizing Parse Server with PostgreSQL databases are at risk. This includes applications relying on Parse Server for backend functionality, particularly those handling sensitive user data or financial transactions. Those using older, unpatched versions of Parse Server are especially vulnerable.
• nodejs / server:
grep -r "parse-server" /path/to/parse-server-installation• nodejs / server:
ps aux | grep parse-server | grep -i postgres• generic web:
Inspect Parse Server API endpoints for the presence of sort parameters with dot-notation field names. Attempt to inject SQL syntax within these parameters to observe any unexpected behavior or error messages.
disclosure
漏洞利用状态
EPSS
0.06% (20% 百分位)
CISA SSVC
目前没有已知的临时解决方案。最有效的缓解措施是立即升级到 Parse Server 9.6.0-alpha.2 或更高版本，该版本修复了此漏洞。在升级之前，请务必备份您的数据库。升级后，请仔细测试您的应用程序，以确保所有功能正常运行。如果升级导致应用程序出现问题，可以考虑回滚到之前的版本，并联系 Parse Server 社区寻求帮助。
将 Parse Server 更新到 9.6.0-alpha.2 或更高版本，或 8.6.28 或更高版本。 这通过正确转义带有点符号查询中子字段值来修复 PostgreSQL 数据库中的 SQL 注入漏洞。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-31840 是一种 SQL 注入漏洞，影响 Parse Server，攻击者可以通过 sort 查询参数注入恶意 SQL 代码到 PostgreSQL 数据库中。
如果您正在使用 Parse Server 且数据库为 PostgreSQL，则可能受到影响。请立即升级到 9.6.0-alpha.2 或更高版本。
升级到 Parse Server 9.6.0-alpha.2 或更高版本。在升级之前，请务必备份您的数据库。
目前尚无公开的利用程序，但由于 SQL 注入漏洞的普遍性，预计未来可能会出现利用程序。
请访问 Parse Server 的 GitHub 仓库，查找相关的安全公告和修复信息。