CVE-2026-30966
— 神龙十问 AI 深度分析摘要
CVSS 10.0 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Parse Server 内部关系表访问控制逻辑存在缺陷。
💥 **后果**：攻击者可绕过权限校验，实现**权限提升**，非法访问或篡改数据。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-284（访问控制错误）。
📍 **缺陷点**：对**内部关系表**的访问控制不当，未正确验证用户权限。
Q3影响谁？（版本/组件）
📦 **组件**：Parse Server (Parse Platform 后端)。
📉 **受影响版本**：
- **8.x 系列**：8.6.20 之前版本
- **9.x 系列**：9.5.2-alpha.7 之前版本
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
- **权限提升**：从低权限用户变为高权限。
- **数据泄露/篡改**：利用 C:H/I:H 的高危害性，可完全控制机密性和完整性。
Q5利用门槛高吗？（认证/配置）
🚪 **利用门槛**：**极低**。
- **网络**：远程 (AV:N)
- **复杂度**：低 (AC:L)
- **认证**：无需认证 (PR:N)
- **用户交互**：无需 (UI:N)
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**：根据数据，目前**暂无**公开的 PoC 或确认的在野利用 (POCs: [])。
⚠️ 但 CVSS 评分高，风险极大，需警惕。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. 检查 `package.json` 中 parse-server 版本。
2. 确认是否低于 **8.6.20** 或 **9.5.2-alpha.7**。
3. 扫描内部关系表访问日志，看是否有异常越权请求。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。
- 补丁版本：**8.6.20** 和 **9.5.2-alpha.7**。
- 参考：GitHub Release 及安全公告 (GHSA-5f92-jrq3-28rc)。
Q9没补丁咋办？（临时规避）
⏳ **临时规避**：
1. 立即**升级**到安全版本。
2. 若无法升级，严格审查**内部关系表**的 ACL 配置。
3. 部署 WAF 规则拦截异常的关系表查询请求。
Q10急不急？（优先级建议）
🔥 **优先级**：**紧急 (Critical)**。
- **CVSS**：高分 (C:H/I:H/S:C)。
- **建议**：立即升级，无需等待 PoC 出现，因为无需认证即可利用。