Parse Server: Denial of Service durch nicht behandelten E-Mail-Fehler
Zusammenfassung
Parse Server behandelt Fehler nicht, die beim Versand von Bestätigungs- oder Passwort-Zurücksetzungs-E-Mails auftreten, wodurch der Serverprozess beendet wird. Ein Client, der nur die öffentlichen Anwendungsschlüssel besitzt, kann sich registrieren oder eine Bestätigungs- beziehungsweise Passwort-Zurücksetzungs-E-Mail anfordern, während der Mail-Provider die Anfrage ablehnt, drosselt oder nicht verfügbar ist. Ein Angreifer kann diese Anfragen wiederholen, um das Backend lahmzulegen. Betroffen sind Installationen, die einen E-Mail-Adapter mit E-Mail-Verifizierung oder Passwort-Zurücksetzung konfiguriert haben.
Betroffen
- parse-server vor 8.6.97
- parse-server 9.0.0 vor 9.10.2-alpha.6
Behoben in
- 8.x: 8.6.97
- 9.x: 9.10.2-alpha.6 gemäss Herstellerhinweis (OSV listet 9.10.2; die genaue stabile 9.x-Korrekturversion vor dem Upgrade im GHSA-Hinweis bestätigen)
Umgehung
- Die send-Methoden des E-Mail-Adapters und, falls konfiguriert, die Funktion sendUserEmailVerification so kapseln, dass Fehler abgefangen und protokolliert statt geworfen oder abgelehnt werden.
- Einen process.on('unhandledRejection')-Listener registrieren, der die Ablehnung protokolliert, statt den Prozess zu beenden; so werden auch Fehler abgedeckt, die vor dem Aufruf des E-Mail-Adapters auftreten.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog gelistet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung partiell.
- Niedriger EPSS-Wert (0.00263). Kein öffentlicher Proof-of-Concept gefunden.
Unsere Empfehlung
- Alle Parse-Server-Instanzen, deren Versionen und die Aktivierung von E-Mail-Verifizierung oder Passwort-Zurücksetzung inventarisieren.
- Auf 8.6.97 oder neuer im 8.x-Zweig beziehungsweise auf die im GHSA-Hinweis bestätigte korrigierte 9.x-Version aktualisieren.
- Bis zur Korrektur die Workaround-Massnahmen umsetzen und Registrierungs- sowie Zurücksetzungs-Endpunkte am Reverse Proxy oder WAF ratenbegrenzen.
- Auf unerwartete Prozessneustarts überwachen und den Server unter einem Process Supervisor betreiben, der bei Neustarts alarmiert.
- GHSA und NVD auf Aktualisierungen prüfen, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-46jj-qw3p-48fc github.com
- VulnCheck advisory www.vulncheck.com
- OSV BIT-parse-2026-110854 osv.dev
- Parse Server release 9.10.2-alpha.6 github.com
- Parse Server pull request 10741 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.