Vulnerabilidad en parse-server de parse-community (CVE-2026-47138)
Gravedad CVSS v4.0:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
12/06/2026
Última modificación:
26/10/2026
Descripción
Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de las versiones 8.6.77 y 9.9.1-alpha.1, un atacante no autenticado que conoce un ID de aplicación de Parse conocido públicamente puede enviar una única solicitud HTTP cuyo campo de versión del SDK del cliente contiene una entrada adversaria que desencadena un retroceso polinómico en un analizador de encabezados de solicitud. El análisis se ejecuta antes de la autenticación de sesión y antes de la limitación de velocidad en cada solicitud /parse/*, por lo que la solicitud consume de segundos a minutos de CPU síncrona en un trabajador de Node.js antes de que cualquier control de acceso lo evalúe. Un pequeño número de solicitudes concurrentes puede saturar un trabajador; una única solicitud grande a través de la variante del campo de cuerpo puede mantener ocupado a un trabajador durante minutos. Las implementaciones en producción que ejecutan la configuración predeterminada se ven afectadas. Este problema ha sido parcheado en las versiones 8.6.77 y 9.9.1-alpha.1.
Impacto
Puntuación base 4.0
8.70
Gravedad 4.0
ALTA