JVNDB-2026-026248

Parse PlatformのParse Serverにおけるダウンロードしたコードの完全性検証不備に関する脆弱性

Parse Server 4.10.0以前のバージョンには、個人のフォークにある未レビューのコードにリンクする誤ったバージョンタッグがリポジトリにプッシュされるというサプライチェーンの脆弱性が含まれています。攻撃者は依存関係の宣言で影響を受けるバージョンタッグを指定することで、この脆弱性を悪用し、未レビューで潜在的に悪意のあるコードを実行する可能性があります。

Parse Platform

• Parse Server 4.0.0
• Parse Server 4.0.10
• Parse Server 4.0.11
• Parse Server 4.0.12
• Parse Server 4.0.13
• Parse Server 4.0.14
• Parse Server 4.0.3
• Parse Server 4.0.4
• Parse Server 4.0.6
• Parse Server 4.0.7
• Parse Server 4.0.8
• Parse Server 4.0.9
• Parse Server 4.6.0
• Parse Server 4.7.0
• Parse Server 4.8.0
• Parse Server 4.8.1
• Parse Server 4.8.2
• Parse Server 4.8.3
• Parse Server 4.8.4
• Parse Server 4.8.5
• Parse Server 4.9.0
• Parse Server 4.9.1
• Parse Server 4.9.2
• Parse Server 4.9.3

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Incorrect version tags linked to external repository  Advisory  parse-community/parse-server  GitHub

VulnCheck

• VulnCheck : Parse Server - Unreviewed Code Execution via Malicious Version Tags  | Advisories | VulnCheck

1. ダウンロードしたコードの完全性検証不備(CWE-494) [その他]

1. CVE-2021-47986

1. National Vulnerability Database (NVD) : CVE-2021-47986

• [2026年07月31日]
    掲載