CVE-2026-100632 in Parse Server
Riassunto
di VulDB • 26/09/2026
Parse Server è un server backend open-source. Nelle versioni >= 9.0.0 e < 9.10.1-alpha.8, nonché nelle versioni < 8.6.89, LiveQuery valuta le autorizzazioni a livello di classe per protectedFields rispetto all'identità del chiamante parzialmente risolta: i ruoli dell'abbonato non vengono risolti e, quando una sottoscrizione non fornisce il proprio token di sessione, il payload degli eventi viene oscurato (redacted) in base a un'identità anonima, anche se la lettura era autorizzata per l'utente connesso. Di conseguenza, le maschere dei campi definite per un ruolo, per utenti autenticati o per uno specifico utente non vengono applicate; di ciò consegue che un abbonato autenticato può ricevere valori di campo che l'API REST correttamente nasconde e può utilizzare un campo mascherato per filtrare o osservare una sottoscrizione. Sono interessate solo le classi con LiveQuery abilitata che definiscono protectedFields sotto un gruppo role:, authenticated, or per-user; le maschere sotto il gruppo public (*) vengono applicate correttamente. Il problema è risolto nelle versioni 9.10.1-alpha.8 e 8.6.89. Come soluzione alternativa, definire inoltre le maschere dei campi interessati nel gruppo public (*), oppure disabilitare LiveQuery per le classi le cui autorizzazioni a livello di classe si basano su gruppi protectedFields scoped sui ruoli, autenticati o per utente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.