CVE-2026-109302 in Parse Server
Resumen
por VulDB • 2026-10-12
Parse Server 8.2.2 antes de 8.6.94 y 9.0.0 antes de 9.10.1-alpha.14 aplica su control de introspección GraphQL únicamente al texto de la operación enviado directamente con una solicitud, no a las operaciones resueltas desde el caché automático de consultas persistentes (APQ) de Apollo Server. Los atacantes no autenticados que posean el Application Id público y la clave del cliente pueden reutilizar una consulta de introspección previamente almacenada en caché por un cliente con claves maestras o de mantenimiento para recuperar el esquema, incluidos los nombres de clases y campos privados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.