CVE-2022-39396criticalCWE-1321

CVE-2022-39396: falha crítica em parse-community parse-server

Parse Server vulnerable to Remote Code Execution via prototype pollution in MongoDB BSON parser

Publicada em · Atualizada em

40Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 9.8epss 39%
probabilidade de exploração
39%top 1% das CVEs
exploração observada
nãonenhuma fonte reporta
Em resumo

O Parse Server tem uma falha crítica que permite que atacantes executem código malicioso no servidor explorando como ele processa dados do MongoDB. Um atacante pode enganar o sistema para executar comandos sem precisar de permissões especiais.

Detalhe técnico

Vulnerabilidade de poluição de protótipo no analisador BSON do MongoDB permite que atacantes remotos não autenticados alcancem execução arbitrária de código injetando propriedades maliciosas em objetos JavaScript durante a desserialização. Versões afetadas anteriores a 4.10.18 e 5.3.1 carecem de validação adequada de entrada na análise de BSON, permitindo exploração através de payloads de consultas MongoDB manipuladas.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Versions prior to 4.10.18, and prior to 5.3.1 on the 5.X branch, are vulnerable to Remote Code Execution via prototype pollution. An attacker can use this prototype pollution sink to trigger a remote code execution through the MongoDB BSON parser. This issue is patched in version 5.3.1 and in 4.10.18. There are no known workarounds.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
parse-community · parse-server
CVEs relacionadas — parse-community parse-server

No mesmo produto, das mais perigosas para as menos.

CVE-2022-24760CRITICALCommand Injection in Parse serverEPSS 49.1%CVE-2024-39309CRITICALZDI-CAN-23894: Parse Server literalizeRegexPart SQL Injection Authentication Bypass VulnerabilityEPSS 20.2%CVE-2023-36475CRITICALParse Server vulnerable to remote code execution via MongoDB BSON parser through prototype pollutionEPSS 3.2%CVE-2021-39187HIGHCrash server with query parameterEPSS 1.8%CVE-2026-30965CRITICALParse Server session token exfiltration via `redirectClassNameForKey` query parameterEPSS 1.6%CVE-2022-31112HIGHProtected fields exposed via LiveQuery in parse-serverEPSS 1.3%
Referências
https://github.com/parse-community/parse-server/security/advisories/GHSA-prm5-8g2m-24gg