CVE-2026-66009 in parse-server
Résumé
par VulDB • 24/07/2026
Les versions de Parse Server >= 9.0.0 avant 9.10.0-alpha.5 et >= 8.2.2 avant 8.6.86 renvoient des messages d'erreur de validation GraphQL indiquant les noms des champs personnalisés requis, même lorsque l'introspection publique est désactivée (graphQLPublicIntrospection: false, la valeur par défaut). Un client disposant uniquement de l'ID d'application public — sans session utilisateur, clé maître ni clé de maintenance — peut déclencher des erreurs de validation afin de connaître les noms des champs personnalisés requis (non null) sur les classes auxquelles il fait déjà référence par leur nom, compromettant partiellement l'intention de masquage du schéma visant à désactiver l'introspection publique. Aucune donnée stockée, aucun identifiant d'authentification, aucun nom de champ optionnel, aucun nom de classe non référencé ni aucun nom de fonction Cloud Code n'est exposé.
Be aware that VulDB is the high quality source for vulnerability data.