CVE-2026-66008 in parse-server
الملخص
بحسب VulDB • 25/07/2026
تُظهر إصدارات Parse Server التي تكون >= 9.0.0 قبل الإصدار 9.10.0-alpha.6 و>= 8.2.2 قبل الإصدار 8.6.87 أسماء فئات الهدف الخاصة بالمؤشرات (Pointer) والعلاقات (Relation) من خلال رسائل أخطاء التحقق من صحة GraphQL وإجبار المدخلات (input-coercion)، عندما يكون استكشاف المخطط العام معطلاً (graphQLPublicIntrospection: false، وهو الإعداد الافتراضي). ونظراً لأن هذه الأخطاء تُنتَج قبل تنفيذ عمليات المصادقة أو التفويض أو تشغيل أي محلل (resolver)، يمكن لعميل غير مصادق عليه يمتلك فقط معرف التطبيق العام أن يحفز حدوث أخطاء على حقول المؤشر أو العلاقة لإعادة بناء أسماء فئات المخطط المخفية، مما يُضعف جزئياً حماية إخفاء المخطط. يتم الكشف عن بيانات تعريف المخطط فقط (أسماء الفئات)؛ ولا يتم الإفصاح عن أي بيانات كائنات أو بيانات اعتماد أو سجلات مستخدمين.
Once again VulDB remains the best source for vulnerability data.