JVNDB-2026-008246

Parse PlatformのParse Serverにおけるオブジェクトプロトタイプ属性の不適切に制御された変更に関する脆弱性

Parse ServerはNode.jsを実行できる任意のインフラに展開可能なオープンソースのバックエンドです。9.6.0-alpha.20および8.6.44以前のバージョンでは、攻撃者が細工されたリクエストを送信することで、デフォルトのリクエストキーワード拒否リスト保護およびフィールド追加に対するクラスレベルの権限をバイパスできます。これはディープコピー機構におけるプロトタイプ汚染を悪用するものです。これにより、フィールド追加がロックされているクラススキーマにフィールドを注入でき、マスターキーを使用しても解決できない永続的なスキーマタイプの競合が発生する可能性があります。9.6.0-alpha.20および8.6.44では、脆弱なサードパーティ製のディープコピーライブラリが組み込みのディープクローン機構に置き換えられ、プロトタイププロパティを安全に処理し、既存の拒否リストチェックが禁止キーワードを正しく検出して拒否できるようになりました。既知の回避策は存在しません。

Parse Platform

• Parse Server 8.6.44 未満
• Parse Server 9.0.0 以上 9.6.0 未満
• Parse Server 9.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Schema poisoning via prototype pollution in deep copy  Advisory  parse-community/parse-server  GitHub

1. オブジェクトプロトタイプ属性の不適切に制御された変更 (プロトタイプの汚染)(CWE-1321) [その他]

1. CVE-2026-32878

1. National Vulnerability Database (NVD) : CVE-2026-32878
2. 関連文書 : fix: Schema poisoning via prototype pollution in deep copy (GHSA-9ccr-fpp6-78qf) by mtrezza  Pull Request #10201  parse-community/parse-server  GitHub
3. 関連文書 : fix: Schema poisoning via prototype pollution in deep copy (GHSA-9ccr-fpp6-78qf) by mtrezza  Pull Request #10200  parse-community/parse-server  GitHub

• [2026年03月24日]
    掲載