はじめに：Parse Serverにおける緊急の脆弱性

Parse Serverのユーザーに緊急のお知らせです。最近、認証なしでサービスを停止させることが可能な、深刻度「高」のサービス拒否（Denial of Service, DoS）脆弱性 (GHSA-38m6-82c8-4xfm / CVE-2026-47138) が発見されました。これはバックエンドの脆弱性ですが、フロントエンドエンジニアの方々も、自身の開発しているアプリケーションが攻撃の「窓口」になる可能性があるため、その影響と対策を理解しておくことが非常に重要です。

脆弱性の詳細：なぜサービスが停止するのか？

この脆弱性は、Parse Serverがクライアントからのリクエストに含まれる「クライアントSDKバージョン」情報を処理する際に発生します。具体的には、HTTPヘッダーの `X-Parse-Client-Version` や、JSONリクエストボディ内の `_ClientVersion` フィールドに悪意のある細工が施された文字列が含まれていると、サーバー側の正規表現（regex）処理が過剰な計算量（正規表現バックトラッキング）を要求され、Node.jsワーカーのCPUリソースが飽和してしまいます。

問題の核心は、この正規表現処理がユーザー認証やリクエスト数の制限（レートリミット）が行われる『前』に実行される点にあります。そのため、攻撃者は認証不要で、ごく簡単なリクエストを送信するだけで、サーバーを応答不能なDoS状態に陥れることができてしまいます。これにより、正当なユーザーはサービスを利用できなくなり、ビジネスに甚大な影響を及ぼす可能性があります。

フロントエンドエンジニアが知るべきこと

「バックエンドの脆弱性だから自分には関係ない」と思われるかもしれませんが、そうではありません。皆さんが開発しているWebやモバイルアプリケーションがParse SDKを使用している場合、そのSDKが送信するリクエストが、意図せずともこの脆弱性の引き金となる情報を送ってしまう可能性があります（もちろん、SDK自体が悪意ある情報を送るわけではありませんが、攻撃者がクライアントになりすますことも可能です）。

また、APIクライアントとしてのParse SDKの挙動や、APIリクエストの構造を理解していることは、バックエンドチームと連携して対策を講じる上で非常に役立ちます。この脆弱性は、まさにフロントエンドとバックエンドの連携部分で発生していると言えるでしょう。

対策：どのように脆弱性から保護するか

最も推奨される、かつ最も効果的な対策は、パッチが適用されたParse Serverの最新バージョンへ速やかにアップグレードすることです。この問題に対処するため、最新バージョンではクライアントSDKバージョンに関するパース処理自体が完全に削除されました。Parse ServerとParse JS SDK間の互換性は厳密なバージョン契約によって定義されており、サーバー側でクライアントSDKのバージョンに応じて適応する必要がなくなったためです。

これにより、『X-Parse-Client-Version』ヘッダーやJSONボディ内の『_ClientVersion』フィールドは、サーバー側で完全に無視されるようになります。サポートされているParse SDKを使っている限り、この変更による影響はありませんのでご安心ください。

すぐにアップグレードが困難な場合は、一時的な回避策として、Parse Serverの前にリバースプロキシ（Nginx, Apacheなど）やWAF（Web Application Firewall）を配置する方法があります。このプロキシやWAFを使って、以下の対策を講じます。

「/parse/*」パスへのすべてのリクエストにおいて、

1. `X-Parse-Client-Version` ヘッダーを、サーバーに転送する前に削除するか、厳密にサイズを制限する。

2. JSONリクエストボディ内の `_ClientVersion` フィールドを、サーバーに転送する前に削除するか、厳密にサイズを制限する。

特に注意が必要なのは、JSONボディ内のフィールドを処理するためには、単なるヘッダーのサイズ制限だけでは不十分で、JSONコンテンツを検査して該当フィールドを処理する必要がある点です。これはWAFの高度な設定や、カスタムスクリプトが必要になる場合があります。

まとめ

今回のParse ServerのDoS脆弱性は、認証不要で攻撃が可能な非常に危険なものです。自身の開発しているアプリケーションがParse Serverを利用している場合、早急な対応が求められます。

フロントエンドエンジニアの皆さんも、この脆弱性のメカニズムと対策を理解し、バックエンドチームと密接に連携して、Parse Serverのアップグレードや一時的な回避策の適用を進めてください。アプリケーションの安定稼働とユーザー保護のため、セキュリティはチーム全体で取り組むべき課題であることを再認識しましょう。