FICHE CVE

CVE-2026-35200

Publiée le 2026-04-06 · Dernière modification le 2026-07-24

🇫🇷 EN BREF

Les installations de Parse Server utilisant des adaptateurs de stockage S3 ou GCS sont concernées si elles n'ont pas été mises à jour vers la version 8.6.73 ou 9.7.1-alpha.4. Un attaquant authentifié peut télécharger un fichier avec un type de contenu trompeur pour inciter le serveur à le diffuser en tant que HTML, permettant potentiellement une attaque par cross-site scripting (XSS) contre d'autres utilisateurs. Cela nécessite la possession d'un compte sur le système et dépend de l'interaction d'un autre utilisateur avec le fichier malveillant.

CVSS 4.02.1 FAIBLE

Type de faiblesse

CWE-436

Publiée2026-04-06

Dernière modification2026-07-24

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 8.6.73 and 9.7.1-alpha.4, a file can be uploaded with a filename extension that passes the file extension allowlist (e.g., .txt) but with a Content-Type header that differs from the extension (e.g., text/html). The Content-Type is passed to the storage adapter without consistency validation. Storage adapters that store and serve the provided Content-Type (such as S3 or GCS) serve the file with the mismatched Content-Type. The default GridFS adapter is not affected because it derives Content-Type from the filename at serving time. This vulnerability is fixed in 8.6.73 and 9.7.1-alpha.4.