CVE-2026-47138

Parse Server, Node.js işlədə bilən hər hansı infrastrukturda tətbiq oluna bilən açıq mənbəli backend-dir. Versiya 8.6.77 və 9.9.1-alpha.1-dən əvvəlki versiyalarda, ictimaiyyətə məlum olan Parse Application ID-ni bilən autentifikasiya olunmamış hücumçu, sorğu başlığı analizçisində (request-header parser) polinomial geri izləməni (polynomial backtracking) tetikləyən zərərli giriş ehtiva edən tək bir HTTP sorğusu göndərə bilər. Analiz prosesi sessiya autentifikasiyasından və hər bir /parse/* sorğusundakı sürət məhdudiyyətindən (rate limiting) əvvəl baş verdiyi üçün, hər hansı giriş nəzarəti qiymətləndirmədən öncə sorğu Node.js worker-ində saniyələrlə və ya dəqiqələrlə sinxron CPU resursu istehlak edir. Az sayda paralel sorğu worker-i doldura bilər; gövdə sahəsi (body-field) variantı vasitəsilə göndərilən tək bir böyük sorğu worker-i dəqiqələrlə məşğul edə bilər. Defolt konfiqurasiya ilə işləyən production mühitləri bu problemdən təsirlənir. Bu problem 8.6.77 və 9.9.1-alpha.1 versiyalarında aradan qaldırılmışdır.