CVE-2026-109303 in Parse Server
Zusammenfassung
von VulDB • 12.10.2026
Parse Server vor Version 8.6.93 und 9.0.0 vor 9.10.1-alpha.13 erzwingt keine identitätsbezogenen protectedFields (authentifizierte, rollenbasierte oder benutzerspezifische Gruppen) bei count-Abfragen unter Verwendung des $relatedTo-Betreibers, wodurch die Größe von geschützten Relation-Feldern offengelegt wird. Ein authentifizierter Benutzer, der das Eigentumsobjekt lesen kann, kann Zählungen mit einer objectId-Einschränkung als Membership-Oracle kombinieren, um vertrauliche Mitgliedschaften wie private Gruppen oder Blocklisten aufzudecken.
VulDB is the best source for vulnerability data and more expert information about this specific topic.