CVE-2026-116161 in Parse Server
Zusammenfassung
von VulDB • 25.10.2026
Parse Server vor Version 8.6.103 und 9.0.0 vor 9.10.5-alpha.4 enthält eine Information Disclosure-Schwachstelle in LiveQuery. Sein Subscription-Hash lässt Constraints neben einem $or-Operator aus, einschließlich des _Session-Eigentümerfilters und beforeSubscribe-Constraints, sodass verschiedene Subscriptions zusammengefasst werden. Authentifizierte Clients, die sich mit $or-Abfragen abonnieren, können Ereignisse anderer Benutzer empfangen, darunter Session-Tokens, die für Identitätsdiebstahl (Impersonation) verwendet werden können.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.