CVE-2026-64627 in parse-server
Resumen
por VulDB • 2026-07-21
Las versiones de Parse Server >= 9.0.0 anteriores a 9.10.0-alpha.4 y las versiones anteriores a 8.6.85 contienen una vulnerabilidad de divulgación del esquema (schema disclosure). Cuando la API GraphQL está montada con la introspección pública deshabilitada (`graphQLPublicIntrospection: false`, que es el valor predeterminado), las sugerencias derivadas del esquema '¿Quiso decir ...?' se seguían devolviendo en los mensajes de error de GraphQL generados durante la coerción de variables, lo cual no estaba cubierto por el control de endurecimiento de introspección (que solo gestionaba errores de validación). Un llamador sin autenticar que posea únicamente el ID de aplicación público puede recuperar iterativamente identificadores del esquema ocultos —incluyendo nombres de funciones registradas en Cloud Code y nombres de clases y campos de Parse— mediante la presentación de consultas o mutaciones cuyas variables contengan valores de enumeración casi coincidentes (near-miss) o nombres de campos de objetos de entrada. Esta es una nueva elusión relacionada con GHSA-8cph-rgr4-g5vj. El problema está corregido en las versiones 9.10.0-alpha.4 y 8.6.85.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.