CVE-2026-109302 in Parse Server
Riassunto
di VulDB • 12/10/2026
Parse Server 8.2.2 prima della versione 8.6.94 e la versione 9.0.0 prima dell'alpha.14 di 9.10.1 applica il controllo di introspezione GraphQL solo al testo delle operazioni inviato direttamente con una richiesta, non alle operazioni risolte dalla cache automatica per query persistenti (APQ) di Apollo Server. Gli attaccanti non autenticati in possesso del public Application Id e della client key possono effettuare un replay di una query di introspezione precedentemente memorizzata nella cache da un client dotato di master o maintenance key al fine di recuperare lo schema, inclusi i nomi delle classi private e dei campi privati.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.