CVE-2026-30941

  1. OpenCVE
  2. Vulnerabilities (CVE)
  3. CVE-2026-30941
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 8.6.14 and 9.5.2-alpha.1, NoSQL injection vulnerability allows an unauthenticated attacker to inject MongoDB query operators via the token field in the password reset and email verification resend endpoints. The token value is passed to database queries without type validation and can be used to extract password reset and email verification tokens. Any Parse Server deployment using MongoDB with email verification or password reset enabled is affected. When emailVerifyTokenReuseIfValid is configured, the email verification token can be fully extracted and used to verify a user's email address without inbox access. This vulnerability is fixed in 8.6.14 and 9.5.2-alpha.1.

7.5 /10

CVSS v3 : HIGH

V3 Legend

Vector :

Exploitability : 3.9 / Impact : 3.6

Attack Vector NETWORK

Attack Complexity LOW

Privileges Required NONE

User Interaction NONE

Confidentiality Impact HIGH

Integrity Impact NONE

Availability Impact NONE

Scope UNCHANGED

References
Link Resource
https://github.com/parse-community/parse-server/releases/tag/8.6.14 Product Release Notes
https://github.com/parse-community/parse-server/releases/tag/9.5.2-alpha.1 Product Release Notes
https://github.com/parse-community/parse-server/security/advisories/GHSA-vgjh-hmwf-c588 Patch Vendor Advisory
Configurations

Configuration 1 (hide)

OR cpe:2.3:a:parseplatform:parse-server:*:*:*:*:*:node.js:*:*
cpe:2.3:a:parseplatform:parse-server:*:*:*:*:*:node.js:*:*
History

11 Mar 2026, 19:42

Type Values Removed Values Added
References () https://github.com/parse-community/parse-server/releases/tag/8.6.14 - () https://github.com/parse-community/parse-server/releases/tag/8.6.14 - Product, Release Notes
References () https://github.com/parse-community/parse-server/releases/tag/9.5.2-alpha.1 - () https://github.com/parse-community/parse-server/releases/tag/9.5.2-alpha.1 - Product, Release Notes
References () https://github.com/parse-community/parse-server/security/advisories/GHSA-vgjh-hmwf-c588 - () https://github.com/parse-community/parse-server/security/advisories/GHSA-vgjh-hmwf-c588 - Patch, Vendor Advisory
CVSS v2 : unknown
v3 : unknown 		v2 : unknown
v3 : 7.5
CPE cpe:2.3:a:parseplatform:parse-server:*:*:*:*:*:node.js:*:*
First Time Parseplatform
Parseplatform parse-server

11 Mar 2026, 13:53

Type Values Removed Values Added
Summary
  • (es) Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de 8.6.14 y 9.5.2-alpha.1, una vulnerabilidad de inyección NoSQL permite a un atacante no autenticado inyectar operadores de consulta de MongoDB a través del campo 'token' en los puntos finales de restablecimiento de contraseña y reenvío de verificación de correo electrónico. El valor del token se pasa a las consultas de la base de datos sin validación de tipo y puede ser utilizado para extraer tokens de restablecimiento de contraseña y verificación de correo electrónico. Cualquier despliegue de Parse Server que utilice MongoDB con la verificación de correo electrónico o el restablecimiento de contraseña habilitados se ve afectado. Cuando 'emailVerifyTokenReuseIfValid' está configurado, el token de verificación de correo electrónico puede ser completamente extraído y utilizado para verificar la dirección de correo electrónico de un usuario sin acceso a la bandeja de entrada. Esta vulnerabilidad está corregida en 8.6.14 y 9.5.2-alpha.1.

10 Mar 2026, 18:18

Type Values Removed Values Added
New CVE
Information

Published : 2026-03-10 18:18

Updated : 2026-03-11 19:42

NVD link : CVE-2026-30941

Mitre link : CVE-2026-30941

CVE.ORG link : CVE-2026-30941

JSON object : View

Products Affected

parseplatform

  • parse-server
CWE
CWE-943

Improper Neutralization of Special Elements in Data Query Logic