JVNDB-2026-006958

Parse PlatformのParse Serverにおける非効率的な正規表現の複雑さに関する脆弱性

Parse ServerはNode.jsを実行できる任意のインフラに展開可能なオープンソースのバックエンドです。9.5.0-alpha.14および8.6.11以前のバージョンでは、悪意のあるクライアントが細工された$regexパターンを使用してLiveQueryにサブスクライブすることで、破滅的なバックトラッキングを引き起こし、Node.jsのイベントループをブロックしてしまいます。これにより、Parse Server全体が応答不能になり、すべてのクライアントに影響を及ぼします。LiveQueryが有効なParse Serverのすべての展開が影響を受けます。攻撃者はアプリケーションIDとJavaScriptキーのみを必要とし、これらはクライアント側アプリで公開されています。この問題はLiveQueryのサブスクリプションマッチングのみに影響し、Node.jsのイベントループ上でJavaScriptによって正規表現が評価されるためです。通常のRESTおよびGraphQLクエリはデータベースエンジンによって正規表現が評価されるため影響を受けません。この脆弱性は9.5.0-alpha.14および8.6.11で修正されています。

Parse Platform

• Parse Server 8.6.11 未満
• Parse Server 9.0.0 以上 9.5.0 未満
• Parse Server 9.5.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Regular Expression Denial of Service (ReDoS) via `$regex` query in LiveQuery  Advisory  parse-community/parse-server  GitHub

1. 非効率的な正規表現の複雑さ(CWE-1333) [その他]

1. CVE-2026-30925

1. National Vulnerability Database (NVD) : CVE-2026-30925
2. 関連文書 : Release 9.5.0-alpha.14  parse-community/parse-server  GitHub
3. 関連文書 : Release 8.6.11  parse-community/parse-server  GitHub

• [2026年03月16日]
    掲載