JVNDB-2026-008249

Parse PlatformのParse Serverにおけるキャッチされない例外に関する脆弱性

Parse Serverは、Node.jsを実行できるインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。9.6.0-alpha.19および8.6.43以前のバージョンでは、リモートの攻撃者が無効な正規表現パターンを使用してLiveQueryにサブスクライブすることでParse Serverをクラッシュさせる可能性があります。無効なパターンがサブスクリプションマッチング中に正規表現エンジンに到達するとサーバプロセスが終了し、接続されたすべてのクライアントに対してサービス拒否が発生します。9.6.0-alpha.19および8.6.43の修正では、サブスクリプション時に正規表現パターンを検証し、無効なパターンは保存前に拒否されます。さらに、防御深度のためのtry-catchによってサブスクリプションマッチングエラーがあってもサーバプロセスのクラッシュを防止します。回避策として、LiveQueryが不要な場合は無効にすることを推奨します。

Parse Platform

• Parse Server 8.6.43 未満
• Parse Server 9.0.0 以上 9.6.0 未満
• Parse Server 9.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : LiveQuery subscription with invalid regular expression crashes server  Advisory  parse-community/parse-server  GitHub

1. キャッチされない例外(CWE-248) [その他]

1. CVE-2026-32770

1. National Vulnerability Database (NVD) : CVE-2026-32770
2. 関連文書 : fix: LiveQuery subscription with invalid regular expression crashes server (GHSA-827p-g5x5-h86c) by mtrezza  Pull Request #10199  parse-community/parse-server  GitHub
3. 関連文書 : fix: LiveQuery subscription with invalid regular expression crashes server (GHSA-827p-g5x5-h86c) by mtrezza  Pull Request #10197  parse-community/parse-server  GitHub

• [2026年03月24日]
    掲載