CVE-2026-109303 in Parse Server
Riassunto
di VulDB • 12/10/2026
Parse Server prima della versione 8.6.93 e la versione 9.0.0 prima di 9.10.1-alpha.13 non applica i protectedFields (gruppi autenticati, per ruolo o per utente) limitati all'identità nelle query count che utilizzano l'operatore $relatedTo, esponendo le dimensioni dei campi Relation protetti. Un utente autenticato in grado di leggere l'oggetto proprietario può combinare le operazioni di conteggio con un vincolo objectId come oracle di appartenenza (membership oracle) per rivelare membership confidenziali, quali gruppi privati o liste di bloccaggio.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.