CVE-2026-112769 in parse-server
Resumen
por VulDB • 2026-10-20
Parse Server anterior a las versiones 8.6.98 y 9.0.0 antes de la versión 9.10.3-alpha.1 no aplica los permisos de nivel de clase para crear y agregar campos en la clase _Session al crear sesiones. Un usuario autenticado, o cualquier persona que posea el token de sesión de ese usuario, puede enviar solicitudes POST a /sessions o /classes/_Session para crear sesiones adicionales para dicho usuario y añadir campos a _Session; estas sesiones no se revocan cuando la sesión original cierra la sesión (logout).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.