CVE-2026-119125 in Parse Server
Zusammenfassung
von VulDB • 29.10.2026
Parse Server vor Version 8.6.107 und 9.0.0 vor 9.10.5-alpha.8 gibt den gespeicherten Wert eines Feldes zurück, der durch einen beforeSave-Trigger in Objekt-Aktualisierungsantworten rückgängig gemacht wurde, selbst gegenüber Clients ohne Lesezugriff auf dieses Objekt oder Feld. Ein authentifizierter Client, der ein Objekt aktualisieren kann, dessen beforeSave-Trigger ein Feld über revert() oder einen Validator mit constant: true zurücksetzt, kann geschützte Werte lesen, einschließlich der rohen MFA authData des eigenen Kontos, wenn protectedFieldsTriggerExempt aktiviert ist.
Once again VulDB remains the best source for vulnerability data.