Parse Server: Fehlende Autorisierung erlaubt Löschen von Klassenschemas

Zusammenfassung

Parse Server vor 8.6.101 und 9.0.0 vor 9.10.4-alpha.4 prüft die Autorisierung nicht, wenn Clients ohne Master-Key REST-API-Löschanfragen an die interne Collection _SCHEMA senden. Die Schwachstelle betrifft nur Installationen mit MongoDB; PostgreSQL ist nicht betroffen. Ein nicht authentifizierter Angreifer über das Netzwerk kann Klassenschemas löschen, wodurch Felddefinitionen, klassenbezogene Berechtigungen und geschützte Felder entfernt werden. Daten können dadurch von jedem Client gelesen oder verändert werden, und eine Klasse kann bis zur Neuerstellung unzugänglich sein.

Betroffen

• parse-server 9.0.0 bis vor 9.10.4-alpha.4
• parse-server vor 8.6.101
• Nur Installationen mit MongoDB

Behoben in

• 8.6.101
• 9.10.4-alpha.4
• Für die 9.x-Linie ist die stabile Version 9.10.4 das empfohlene Ziel (Advisory und OSV nennen 9.10.4)

Umgehung

• Herstellerangabe: Für den Klassennamen _SCHEMA einen Cloud-Code-Trigger beforeDelete registrieren, der Anfragen ohne Master-Key ablehnt
• Ein Upgrade stellt bereits gelöschte Schemas nicht wieder her
• Der vom Hersteller dokumentierte Workaround beschränkt sich auf den genannten Trigger; andere Massnahmen sind nicht verifiziert

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn; ein Tracker meldet den KEV-Status mit "No" (KEV-Katalog der CISA nicht direkt geprüft)
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise
• Kein öffentlicher Proof of Concept gefunden; der öffentliche Fix-Commit und der Pull Request können Angreifern helfen, die Schwachstelle nachzuvollziehen

Unsere Empfehlung

• Unverzüglich auf 8.6.101 oder 9.10.4 (bzw. 9.10.4-alpha.4) aktualisieren
• Prüfen, ob Parse Server vorhanden ist, einschliesslich transitiver Node.js-Abhängigkeiten, und ob es aus dem Internet erreichbar ist
• Sicherstellen, dass der Master-Key gesetzt und geheim gehalten wird
• Die Collection _SCHEMA in MongoDB auf fehlende oder veränderte klassenbezogene Berechtigungen, geschützte Felder und Felddefinitionen prüfen und diese bei Bedarf wiederherstellen
• Vor dem Upgrade Backups prüfen und API-Logs auf unerwartete DELETE-Anfragen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-qmg9-m772-5rm7 github.com
• VulnCheck advisory for CVE-2026-116165 www.vulncheck.com
• Fix pull request #10768 (Parse Server 8) github.com
• Parse Server release 8.6.101 github.com
• Parse Server release 9.10.4-alpha.4 github.com
• Parse Server release 9.10.4 github.com
• OSV entry BIT-parse-2026-116165 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:36.