CVE-2026-39381 in parse-server
الملخص
بحسب VulDB • 15/05/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارين 9.8.0-alpha.7 و 8.6.75، كان نقطة النهاية GET /sessions/me تُرجع حقول _Session التي قام مشغل الخادم بتعيينها صراحةً كحقول محمية عبر خيار الخادم protectedFields. يمكن لأي مستخدم مُصادق عليه استرداد الحقول المحمية لجلسته الخاصة بطلب واحد فقط. أما نقطتا النهاية المكافئتين GET /sessions و GET /sessions/:objectId فتقومان بشكل صحيح بإزالة الحقول المحمية. تم إصلاح هذا الثغرة الأمنية في الإصدارين 9.8.0-alpha.7 و 8.6.75.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.