JVNDB-2026-017116

Parse PlatformのParse Serverにおける競合状態に関する脆弱性

Parse ServerはNode.jsを実行できるあらゆるインフラにデプロイ可能なオープンソースのバックエンドです。8.6.76以前および9.9.0-alpha.2より前のバージョンでは、MFAのSMSワンタイムパスワード（OTP）ログインパスにおいて競合状態が存在しており、同じOTPを含む2つの同時/loginリクエストが両方とも成功し、有効なセッショントークンを両方が受け取ることができました。そのため、OTPの一回限りの使用特性が破られていました。この脆弱性は、攻撃者が既に被害者のパスワードを所持し、アクティブなSMS OTPを傍受（例：SIMスワップ、ネットワークミラー、フィッシング中継）し、正当なログイン要求と競合させる必要があるため、実際の攻撃範囲は狭いです。この脆弱性は8.6.76および9.9.0-alpha.2で修正されました。

Parse Platform

• Parse Server 8.6.76 未満
• Parse Server 9.0.0 以上 9.9.0 未満
• Parse Server 9.9.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : MFA SMS one-time password accepted twice under concurrent login  Advisory  parse-community/parse-server  GitHub

1. 競合状態(CWE-362) [その他]

1. CVE-2026-43930

1. National Vulnerability Database (NVD) : CVE-2026-43930
2. 関連文書 : fix: MFA SMS one-time password accepted twice under concurrent login (GHSA-jpq4-7fmq-q5fj) by mtrezza  Pull Request #10449  parse-community/parse-server  GitHub
3. 関連文書 : fix: MFA SMS one-time password accepted twice under concurrent login (GHSA-jpq4-7fmq-q5fj) by mtrezza  Pull Request #10448  parse-community/parse-server  GitHub

• [2026年05月28日]
    掲載