CVE-2022-24760
严重已发布
Parse 服务器中的命令注入
- 已发布
- 2022年3月11日
- 已更新
- 2025年4月22日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月5日
初级CVSS
10.0/ 10严重
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H49.1%
中 · 未来 30 天
- 百分位
- 98.9%
- 型号日期
- 2026年9月21日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Parse Server 是一个开源 HTTP Web 服务器后端。在 4.10.7 之前的版本中存在一个远程代码执行（RCE）漏洞。该漏洞影响使用 MongoDB 默认配置的 Parse Server。导致 RCE 的主要弱点在于文件 `DatabaseController.js` 中的原型污染（Prototype Pollution）易受攻击代码，因此该漏洞也可能影响 Postgres 以及任何其他数据库后端。此漏洞已在 Linux（Ubuntu）和 Windows 上得到确认。建议用户尽快升级。目前唯一已知的临时解决方案是使用来源 GHSA-p6h4-93qp-jhcm 中引用的代码手动修补您的安装。
来源
1CVE-2022-24760 的详细技术分析，这是 parse-server 中的一个原型污染漏洞，可通过 BSON 序列化和竞态条件利用导致远程代码执行。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。