CVE-2026-34573Parse Server是一个基于Node.js的开源后端框架。在8.6.68和9.7.0-alpha.12版本之前,其GraphQL查询复杂度验证器存在安全漏洞。攻击者可利用该漏洞,通过发送包含二进制扇出片段扩展的特制查询,导致Node.js事件循环阻塞数秒,从而对所有并发用户发起拒绝服务攻击。该漏洞仅影响启用了特定GraphQL复杂度配置选项的部署环境。
该漏洞源于Parse Server中GraphQL查询复杂度验证器的实现缺陷。当部署启用了`requestComplexity.graphQLDepth`或`requestComplexity.graphQLFields`配置选项时,系统未能正确处理包含“二进制扇出片段扩展”的恶意构造查询。攻击者无需身份认证即可发送此类特制GraphQL请求。由于验证算法在处理这种指数级扩展的片段时效率极低,解析过程会长时间完全占用Node.js的单线程事件循环,导致服务器无法响应其他并发请求,从而实现拒绝服务。