CVE-2022-31089highCWE-252CWE-706

CVE-2022-31089: falha de alta gravidade em parse-community parse-server

Invalid file request can crashe parse-server

Publicada em · Atualizada em

21Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 7.5epss 1.1%
probabilidade de exploração
1.1%top 35% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo

O Parse Server pode travar quando recebe certas requisições de arquivo malformadas. Isso faz o servidor parar de funcionar, o que é especialmente crítico se você executa apenas uma instância sem redundância.

Detalhe técnico

A vulnerabilidade existe no tratamento de requisições de arquivo devido a gerenciamento inadequado de erros (CWE-252, CWE-706), permitindo que atacantes remotos enviem requisições de arquivo especialmente construídas que disparam exceções não tratadas e travam o processo Node.js. O impacto na disponibilidade é diretamente proporcional à redundância da implementação; servidores únicos enfrentam interrupção completa do serviço.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. In affected versions certain types of invalid files requests are not handled properly and can crash the server. If you are running multiple Parse Server instances in a cluster, the availability impact may be low; if you are running Parse Server as single instance without redundancy, the availability impact may be high. This issue has been addressed in versions 4.10.12 and 5.2.3. Users are advised to upgrade. There are no known workarounds for this issue.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
Produtos afetados
parse-community · parse-server
CVEs relacionadas — parse-community parse-server

No mesmo produto, das mais perigosas para as menos.

CVE-2022-24760CRITICALCommand Injection in Parse serverEPSS 49.1%CVE-2022-39396CRITICALParse Server vulnerable to Remote Code Execution via prototype pollution in MongoDB BSON parserEPSS 38.7%CVE-2024-39309CRITICALZDI-CAN-23894: Parse Server literalizeRegexPart SQL Injection Authentication Bypass VulnerabilityEPSS 20.2%CVE-2023-36475CRITICALParse Server vulnerable to remote code execution via MongoDB BSON parser through prototype pollutionEPSS 3.2%CVE-2021-39187HIGHCrash server with query parameterEPSS 1.8%CVE-2026-30965CRITICALParse Server session token exfiltration via `redirectClassNameForKey` query parameterEPSS 1.6%
Referências
https://github.com/parse-community/parse-server/commit/5be375dec2fa35425c1003ae81c55995ac72af92https://github.com/parse-community/parse-server/security/advisories/GHSA-xw6g-jjvf-wwf9