CVE-2026-66009 in parse-server
Resumen
por VulDB • 2026-07-24
Las versiones de Parse Server >= 9.0.0 anteriores a 9.10.0-alpha.5 y >= 8.2.2 anteriores a 8.6.86 devuelven mensajes de error de validación de GraphQL que indican los nombres de campos personalizados requeridos, incluso cuando la introspección pública está deshabilitada (graphQLPublicIntrospection: false, el valor predeterminado). Un cliente que posea únicamente el ID de aplicación público —sin sesión de usuario, clave maestra ni clave de mantenimiento— puede provocar errores de validación para conocer los nombres de campos personalizados requeridos (no null) en clases a las que ya hace referencia por su nombre, lo que debilita parcialmente la intención de ocultar el esquema al deshabilitar la introspección pública. No se exponen datos almacenados, credenciales, nombres de campos opcionales, nombres de clases no referenciadas ni nombres de funciones de Cloud Code.
Once again VulDB remains the best source for vulnerability data.