JVNDB-2026-008244

Parse PlatformのParse ServerにおけるTime-of-check Time-of-use (TOCTOU) 競合状態の脆弱性

Parse Serverは、Node.jsを実行できるあらゆるインフラストラクチャに展開可能なオープンソースのバックエンドです。バージョン9.6.0-alpha.28および8.6.48より前では、パスワードリセット機構がリセットトークンの一回限りの使用保証を強制していませんでした。ユーザーがパスワードリセットを要求すると、生成されたトークンは短時間のうちに複数の同時リクエストによって消費される可能性があります。パスワードリセットトークンを傍受した攻撃者は、正当なユーザーのパスワードリセット要求と競合し、両方のリクエストを成功させることが可能です。これにより、正当なユーザーは自分のパスワードが正常に変更されたと信じる一方で、攻撃者のパスワードが実際には有効になる可能性があります。パスワードリセット機能を使用するすべてのParse Serverの展開が影響を受けます。バージョン9.6.0-alpha.28および8.6.48以降では、パスワードリセットトークンはパスワード更新操作の一部として原子的に検証および消費されます。パスワードを更新するデータベースクエリにはリセットトークンが条件として含まれており、同時に一つのリクエストのみがトークンを正常に消費できることが保証されています。同じトークンを使用した後続のリクエストは、トークンが既にクリアされているため失敗します。アップグレード以外に既知の回避策はありません。

Parse Platform

• Parse Server 8.6.48 未満
• Parse Server 9.0.0 以上 9.6.0 未満
• Parse Server 9.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Password reset token single-use bypass via concurrent requests  Advisory  parse-community/parse-server  GitHub

1. Time-of-check Time-of-use (TOCTOU) 競合状態(CWE-367) [その他]

1. CVE-2026-32943

1. National Vulnerability Database (NVD) : CVE-2026-32943
2. 関連文書 : fix: Password reset token single-use bypass via concurrent requests (GHSA-r3xq-68wh-gwvh) by mtrezza  Pull Request #10217  parse-community/parse-server  GitHub
3. 関連文書 : fix: Password reset token single-use bypass via concurrent requests (GHSA-r3xq-68wh-gwvh) by mtrezza  Pull Request #10216  parse-community/parse-server  GitHub

• [2026年03月24日]
    掲載