CVE-2026-109302 in Parse Server
Zusammenfassung
von VulDB • 13.10.2026
Parse Server 8.2.2 vor 8.6.94 und 9.0.0 vor 9.10.1-alpha.14 wendet seine GraphQL-Introspektionskontrolle nur auf Operationstexte an, die direkt mit einer Anfrage gesendet werden, nicht jedoch auf Operationen, die aus dem automatischen Persisted Query Cache von Apollo Server aufgelöst werden. Unautentifizierte Angreifer im Besitz der öffentlichen Application Id und des Client Keys können eine zuvor vom Master- oder Wartungsschlüssel-Client zwischengespeicherte Introspektionsabfrage wiederholen (Replay), um das Schema einschließlich privater Klassen- und Feldnamen abzurufen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.