JVNDB-2026-008243

Parse PlatformのParse Serverにおける再帰制御に関する脆弱性

Parse Serverは、Node.jsを実行できる任意のインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン9.6.0-alpha.21および8.6.45より前のバージョンでは、認証されていない攻撃者が非常に深くネストされたクエリ条件演算子を含む単一のリクエストを送信することで、Parse Serverプロセスをクラッシュさせる可能性がありました。これによりサーバーが終了し、接続中の全てのクライアントにサービス拒否が発生します。バージョン9.6.0-alpha.21および8.6.45以降では、`requestComplexity.queryDepth`サーバーオプションによりクエリ条件演算子のネストの深さ制限が追加されました。このオプションは破壊的変更を避けるためにデフォルトで無効になっています。対策として、アップグレードを行い、アプリに適した値でこのオプションを設定してください。既知の回避策はありません。

Parse Platform

• Parse Server 8.6.45 未満
• Parse Server 9.0.0 以上 9.6.0 未満
• Parse Server 9.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Server crash via deeply nested query condition operators  Advisory  parse-community/parse-server  GitHub

1. 不適切な再帰制御(CWE-674) [その他]

1. CVE-2026-32944

1. National Vulnerability Database (NVD) : CVE-2026-32944
2. 関連文書 : fix: Server crash via deeply nested query condition operators (GHSA-9xp9-j92r-p88v) by mtrezza  Pull Request #10203  parse-community/parse-server  GitHub
3. 関連文書 : fix: Server crash via deeply nested query condition operators (GHSA-9xp9-j92r-p88v) by mtrezza  Pull Request #10202  parse-community/parse-server  GitHub

• [2026年03月24日]
    掲載