JVNDB-2026-008251

Parse PlatformのParse Serverにおける動的に決定されたオブジェクト属性の不適切に制御された変更に関する脆弱性

Parse ServerはNode.jsを実行できるあらゆるインフラストラクチャに展開可能なオープンソースのバックエンドです。9.6.0-alpha.17および8.6.42以前のバージョンでは、認証済みユーザーが`POST /classes/_Session`を介してセッションオブジェクトを作成する際に、サーバー生成のセッションフィールド（`sessionToken`、`expiresAt`、`createdWith`）を上書きできました。これにより、任意の将来の期限を設定してサーバーのセッション有効期限ポリシーを回避したり、予測可能なセッショントークン値を設定したりすることが可能でした。バージョン9.6.0-alpha.17および8.6.42以降では、セッション作成エンドポイントがユーザー提供データからサーバー生成フィールドをフィルタリングし、これらの上書きを防止しています。回避策として、`_Session`クラスに`beforeSave`トリガーを追加し、`sessionToken`、`expiresAt`、`createdWith`のユーザー提供値を検証して拒否または削除することを推奨します。

Parse Platform

• Parse Server 8.6.42 未満
• Parse Server 9.0.0 以上 9.6.0 未満
• Parse Server 9.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Session creation endpoint allows overwriting server-generated session fields  Advisory  parse-community/parse-server  GitHub

1. 動的に決定されたオブジェクト属性の不適切に制御された変更(CWE-915) [その他]

1. CVE-2026-32742

1. National Vulnerability Database (NVD) : CVE-2026-32742
2. 関連文書 : fix: Session creation endpoint allows overwriting server-generated session fields (GHSA-5v7g-9h8f-8pgg) by mtrezza  Pull Request #10196  parse-community/parse-server  GitHub
3. 関連文書 : fix: Session creation endpoint allows overwriting server-generated session fields (GHSA-5v7g-9h8f-8pgg) by mtrezza  Pull Request #10195  parse-community/parse-server  GitHub

• [2026年03月24日]
    掲載