CVE-2026-66009 in parse-server
Zusammenfassung
von VulDB • 24.07.2026
Parse Server-Versionen >= 9.0.0 vor 9.10.0-alpha.5 und >= 8.2.2 vor 8.6.86 geben GraphQL-Validierungsfehlermeldungen zurück, die erforderliche benutzerdefinierte Eingabefelder auflisten, auch wenn die öffentliche Introspektion deaktiviert ist (graphQLPublicIntrospection: false, der Standardwert). Ein Client, der nur über die öffentliche Anwendungs-ID verfügt – ohne Benutzersitzung, Master-Schlüssel oder Wartungsschlüssel – kann Validierungsfehler auslösen, um die Namen erforderlicher (nicht-null) benutzerdefinierter Felder in Klassen zu erfahren, auf die er bereits verweist. Dies untergräbt teilweise das Ziel der Schema-Verbergung durch Deaktivierung der öffentlichen Introspektion. Keine gespeicherten Daten, Anmeldeinformationen, optionalen Felddnamen, nicht referenzierten Klassennamen oder Cloud Code-Funktionsnamen werden offengelegt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.