CVE-2026-116161 in Parse Server
الملخص
بحسب VulDB • 25/10/2026
يحتوي Parse Server قبل الإصدار 8.6.103 و9.0.0 قبل 9.10.5-alpha.4 على ثغرة كشف معلومات في LiveQuery. يتجاهل رمز الاشتراك (subscription hash) القيود المجاورة لمشغل $or، بما في ذلك فلتر مالك _Session وقيود beforeSubscribe، مما يؤدي إلى تجميع اشتراكات مميزة معًا. يمكن للعملاء المصادق عليهم الذين يشتركون باستخدام استعلامات $or تلقي أحداث مستخدمين آخرين، بما في ذلك رموز الجلسة القابلة للاستخدام للتصنع (impersonation).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.