Parse Server: Denial of Service über Dateireferenz ohne URL

Zusammenfassung

Parse Server vor 8.6.95 sowie 9.0.0 vor 9.10.2-alpha.3 löst Dateireferenzen ohne URL nicht auf, bevor Objekte an Cloud-Code-Trigger und LiveQuery übergeben werden. Die daraus entstehende, nicht abgefangene Ausnahme beendet den Serverprozess oder führt zu Fehlern bei nachfolgenden Anfragen. Angreifer, die in eine Klasse mit aktivierten Cloud-Code-Save-, Find- oder Delete-Triggern oder aktiviertem LiveQuery schreiben können, können dies auslösen, auch unauthentifizierte Benutzer, wenn öffentlicher Schreibzugriff oder Registrierung erlaubt ist. Der CNA bewertet die Schwachstelle mit CVSS 4.0 8.2 (High); andere Quellen bewerten sie tiefer (CVSS 3.1 5.9, VulDB 5.3), und die Auswirkung beschränkt sich auf die Verfügbarkeit.

Betroffen

• parse-server 9.0.0 bis vor 9.10.2-alpha.3
• parse-server vor 8.6.95

Behoben in

• parse-server 8.6.95
• parse-server 9.10.2-alpha.3
• parse-server 9.10.2 (stabile Version mit demselben Fix)

Umgehung

• Kein Workaround des Herstellers gefunden. Der Advisory beschreibt eine Middleware vor Parse Server, die Schreibanfragen ablehnt, deren Objekt __type File ohne url oder mit einem nicht-String-Namen enthält. Dadurch werden auch legitime Anfragen blockiert, die eine bestehende Datei nur über den Namen referenzieren.
• Übergangsmassnahme (eigene Empfehlung, keine Herstellervorgabe): Klassenberechtigungen prüfen und öffentlichen Schreibzugriff sowie offene Registrierung deaktivieren, wo nicht benötigt.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle ausgenutzt wird. Die geprüften Quellen führen sie nicht als bekanntermassen ausgenutzt; der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Bei den durchgeführten Recherchen wurde kein öffentlicher Proof of Concept gefunden; dies ist nicht abschliessend verifiziert.
• EPSS 0.00348. CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Auf parse-server 8.6.95 oder 9.10.2-alpha.3 (bzw. stabil 9.10.2) umgehend aktualisieren, insbesondere bei öffentlich erreichbaren Instanzen mit öffentlichen APIs.
• Prüfen, ob Klassen mit Cloud-Code-Triggern oder LiveQuery öffentlichen Schreibzugriff oder offene Registrierung erlauben, und diesen einschränken, wo er nicht erforderlich ist.
• Auf unerwartete Prozessneustarts und fehlschlagende Anfragen als Hinweise auf eine Ausnutzung achten.
• Interne Installationen mit eingeschränkten Berechtigungen haben eine tiefere Priorität, sollten aber ebenfalls gepatcht werden.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-gpr6-gr9g-pfw6 github.com
• VulnCheck advisory www.vulncheck.com
• Parse Server release 8.6.95 github.com
• Parse Server release 9.10.2-alpha.3 github.com
• Parse Server release 9.10.2 github.com
• OSV entry CVE-2026-109301 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:38.