Veille sécuritéBackend & données
P3Élevée
Parse Server utilise, pour valider les adresses e-mail, une expression régulière dont le temps d’exécution croît quadratiquement avec la longueur de l’entrée, sans limite de longueur. Une requête d’inscription non authentifiée (avec l’identifiant d’application) ou la modification de l’adresse par un utilisateur connecté peut bloquer la boucle d’événements Node.js; mettre à niveau vers une version corrigée.
Node.js
IdentifiantCVE-2026-123487
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif8.6.115 et 9.10.7-alpha.1
Source : NVD — CVE-2026-123487
Analyse technique
Une adresse e-mail longue et spécialement construite entraîne un coût de validation disproportionné et peut bloquer le traitement des requêtes de tous les clients.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-11-06 à 15:17:17.947Z et mise à jour substantiellement le même jour à 18:18:03.383Z, dans la période demandée.
ImpactBlocage de la boucle d’événements Node.js et déni de service pour les clients de l’application.
Versions affectéesParse Server antérieur à 8.6.115; branche 9.0.0 antérieure à 9.10.7-alpha.1
Version corrigée8.6.115 et 9.10.7-alpha.1
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.7
Publication2026-11-06T15:17:17.947Z
Mise à jour2026-11-06T18:18:03.383Z
Action recommandée
Mettre à niveau Parse Server vers 8.6.115 ou une version corrigée de la branche 9.
Sources
Priorisation DFS : P3 · 1 source(s).