Vulnerabilidad en parse-server de parse-community (CVE-2026-50008)
Gravedad CVSS v4.0:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
12/06/2026
Última modificación:
26/10/2026
Descripción
Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Desde la versión 9.8.0 hasta antes de la versión 9.9.1-alpha.3, la opción de servidor routeAllowList restringe el acceso de clientes externos a una lista configurada de rutas de API REST. La verificación solo se aplica como middleware de Express contra la URL de la solicitud HTTP externa, por lo que el gestor /batch despacha cada sub-solicitud al router interno sin volver a ejecutar la verificación de la lista de permitidos. Un llamador externo cuya ruta externa coincide con batch puede emitir sub-solicitudes por lotes a cualquier ruta de API REST que el operador omitió de la lista de permitidos. Autenticación, ACL, CLP y otros controles de autorización de ruta interna aún se aplican - solo se omite el cortafuegos de ruta configurado por el operador. Este problema ha sido parcheado en la versión 9.9.1-alpha.3.
Impacto
Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA