CVE-2026-32943

Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.6.0-alpha.28 e 8.6.48, il meccanismo di reset della password non garantiva l'uso monouso dei token di reset. Quando un utente richiede un reset della password, il token generato può essere utilizzato da più richieste concorrenti in una breve finestra temporale. Un attaccante che ha intercettato un token di reset della password può competere in race con la richiesta legittima di reset, causando il successo di entrambe le richieste. Ciò può portare l'utente legittimo a credere che la propria password sia stata modificata con successo, mentre invece la password dell'attaccante entra in vigore. Tutti i deployment di Parse Server che utilizzano la funzione di reset della password sono interessati. A partire dalle versioni 9.6.0-alpha.28 e 8.6.48, il token di reset della password viene ora validato e consumato in modo atomico come parte dell'operazione di aggiornamento della password. La query sul database che aggiorna la password include il token di reset come condizione, garantendo che solo una richiesta concorrente possa consumare con successo il token. Le richieste successive che utilizzano lo stesso token falliranno perché il token è già stato eliminato. Non esiste una soluzione nota se non l'aggiornamento.