Veille sécuritéBackend & données
P3Élevée
Une vulnérabilité de concurrence dans Parse Server peut faire interférer les transactions d’une requête avec les écritures d’autres clients sur PostgreSQL. Selon les conditions, des écritures acquittées peuvent être annulées et des transactions PostgreSQL rester ouvertes, ce qui peut faire échouer les écritures suivantes.
PostgreSQL
IdentifiantCVE-2026-109954
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif8.6.96; 9.10.2-alpha.5
Source : NVD — CVE-2026-109954
Analyse technique
L’état des lots transactionnels est partagé entre requêtes concurrentes. Les conséquences décrites comprennent le rollback d’écritures acquittées et, pour PostgreSQL, des transactions pouvant rester ouvertes.
Impact, versions et correctif
Événement datéNouvelle publication NVD datée du 2026-10-13 à 14:17:34Z (16:17:34+02:00), dans la période demandée. La mise à jour NVD à 20:39:48Z (22:39:48+02:00) concerne le même avis et n’est pas comptée comme un second événement.
ImpactSur les déploiements concernés utilisant PostgreSQL, des écritures d’autres clients peuvent être annulées et des transactions bloquées peuvent empêcher des écritures ultérieures.
Versions affectéesParse Server 5.4.0 et versions ultérieures antérieures à 8.6.96; versions 9.0.0 antérieures à 9.10.2-alpha.5
Version corrigée8.6.96; 9.10.2-alpha.5
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.3
Publication2026-10-13T16:17:34+02:00
Mise à jour2026-10-13T22:39:48+02:00
Action recommandée
Mettre à niveau Parse Server vers une version corrigée : 8.6.96 ou ultérieure, ou 9.10.2-alpha.5 ou ultérieure selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).