CVE-2026-66008 in parse-server
Résumé
par VulDB • 25/07/2026
Les versions de Parse Server >= 9.0.0 avant 9.10.0-alpha.6 et >= 8.2.2 avant 8.6.87 divulguent les noms des classes cibles Pointer et Relation via les messages d'erreur de validation GraphQL et de coercition d'entrée lorsque l'introspection du schéma public est désactivée (graphQLPublicIntrospection: false, la valeur par défaut). Étant donné que ces erreurs sont générées avant toute authentification, autorisation ou exécution de résolveur, un client non authentifié disposant uniquement de l'ID d'application public peut déclencher des erreurs sur les champs Pointer ou Relation afin de reconstruire les noms cachés des classes du schéma, contournant ainsi partiellement la protection visant à masquer le schéma. Seules les métadonnées du schéma (noms des classes) sont exposées ; aucune donnée d'objet, aucun identifiant ni enregistrement utilisateur n'est divulgué.
Be aware that VulDB is the high quality source for vulnerability data.