CVE-2022-31089highCWE-252CWE-706

CVE-2022-31089: fallo de gravedad alta en parse-community parse-server

Invalid file request can crashe parse-server

Publicada el · Actualizada el

21Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 7.5epss 1.1%
probabilidad de explotación
1.1%top 35% de las CVE
explotación observada
noninguna fuente lo reporta
En resumen

Parse Server puede bloquearse cuando recibe ciertas solicitudes de archivo malformadas. Esto hace que el servidor deje de funcionar, lo cual es especialmente crítico si ejecuta solo una instancia sin redundancia.

Detalle técnico

La vulnerabilidad existe en el manejo de solicitudes de archivo debido a una gestión inadecuada de errores (CWE-252, CWE-706), permitiendo que atacantes remotos envíen solicitudes de archivo especialmente construidas que desencadenan excepciones no controladas y bloquean el proceso Node.js. El impacto en la disponibilidad es directamente proporcional a la redundancia de la implementación; los servidores únicos enfrentan una interrupción completa del servicio.

Resumen generado y traducido por IA a partir de la descripción oficial.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. In affected versions certain types of invalid files requests are not handled properly and can crash the server. If you are running multiple Parse Server instances in a cluster, the availability impact may be low; if you are running Parse Server as single instance without redundancy, the availability impact may be high. This issue has been addressed in versions 4.10.12 and 5.2.3. Users are advised to upgrade. There are no known workarounds for this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Productos afectados
parse-community · parse-server
CVEs relacionadas — parse-community parse-server

En el mismo producto, de las más peligrosas a las menos.

CVE-2022-24760CRITICALCommand Injection in Parse serverEPSS 49.1%CVE-2022-39396CRITICALParse Server vulnerable to Remote Code Execution via prototype pollution in MongoDB BSON parserEPSS 38.7%CVE-2024-39309CRITICALZDI-CAN-23894: Parse Server literalizeRegexPart SQL Injection Authentication Bypass VulnerabilityEPSS 20.2%CVE-2023-36475CRITICALParse Server vulnerable to remote code execution via MongoDB BSON parser through prototype pollutionEPSS 3.2%CVE-2021-39187HIGHCrash server with query parameterEPSS 1.8%CVE-2026-30965CRITICALParse Server session token exfiltration via `redirectClassNameForKey` query parameterEPSS 1.6%
Referencias
https://github.com/parse-community/parse-server/commit/5be375dec2fa35425c1003ae81c55995ac72af92https://github.com/parse-community/parse-server/security/advisories/GHSA-xw6g-jjvf-wwf9