JVNDB-2026-008252

Parse PlatformのParse Serverにおけるクロスサイトスクリプティングの脆弱性

Parse Serverは、Node.jsを実行できるあらゆるインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン9.6.0-alpha.15および8.6.41より前では、ファイルのアップロードを許可された攻撃者が、`Content-Type`ヘッダーにMIMEパラメータ（例：`;charset=utf-8`）を追加することでファイル拡張子フィルターを回避できます。これにより、拡張子の検証がブロックリストと一致しなくなり、アクティブコンテンツがアプリケーションのドメイン下に保存・配信される可能性があります。さらに、ブラウザでスクリプトをレンダリング可能な特定のXMLベースのファイル拡張子がデフォルトのブロックリストに含まれていません。この問題は、ストアドXSS攻撃を引き起こし、セッショントークンやユーザー資格情報、またはブラウザのローカルストレージ経由でアクセス可能なその他の機密データの漏洩につながる可能性があります。バージョン9.6.0-alpha.15および8.6.41の修正では、`Content-Type`ヘッダーからMIMEパラメータを削除してから拡張子のブロックリスト照合を行うようにしました。また、デフォルトのブロックリストには、ブラウザでアクティブコンテンツをレンダリング可能な追加のXMLベース拡張子（`xsd`、`rng`、`rdf`、`rdf+xml`、`owl`、`mathml`、`mathml+xml`）が含まれるよう拡張しています。なお、`fileUpload.fileExtensions`オプションは、特定のアプリケーションで有効なファイル拡張子を許可するためのホワイトリストとして設定することを意図しており、拒否リストとして設定することは想定していません。デフォルトの拒否リストは一般的な問題のある拡張子をカバーする基本的なものであり、すべての潜在的に危険な拡張子を網羅しているわけではありません。将来的にブラウザでアクティブコンテンツをレンダリング可能な新しい拡張子が出現する可能性があるため、開発者はデフォルトの値に頼るべきではありません。回避策としては、デフォルトのブロックリストに依存するのではなく、アプリケーションが必要とするファイル拡張子のみを許可するホワイトリストとして`fileUpload.fileExtensions`オプションを設定してください。

Parse Platform

• Parse Server 8.6.41 未満
• Parse Server 9.0.0 以上 9.6.0 未満
• Parse Server 9.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Stored XSS filter bypass via Content-Type MIME parameter and missing XML extension blocklist entries  Advisory  parse-community/parse-server  GitHub

1. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-32728

1. National Vulnerability Database (NVD) : CVE-2026-32728
2. 関連文書 : fix: Stored XSS filter bypass via Content-Type MIME parameter and mis…  parse-community/parse-server@c7599c5  GitHub
3. 関連文書 : fix: Stored XSS filter bypass via Content-Type MIME parameter and missing XML extension blocklist entries (GHSA-42ph-pf9q-cr72) by mtrezza  Pull Request #10191  parse-community/parse-server  GitHub
4. 関連文書 : fix: Stored XSS filter bypass via Content-Type MIME parameter and missing XML extension blocklist entries (GHSA-42ph-pf9q-cr72) by mtrezza  Pull Request #10192  parse-community/parse-server  GitHub
5. 関連文書 : fix: Stored XSS filter bypass via Content-Type MIME parameter and mis…  parse-community/parse-server@4f53ab3  GitHub

• [2026年03月24日]
    掲載