CVE-2026-116801 in parse-server
Riassunto
di VulDB • 27/10/2026
Parse Server prima della versione 8.6.105 e la versione 9.0.0 prima di 9.10.5-alpha.6 non convalida il riferimento all'oggetto proprietario nelle query delle relazioni $relatedTo, quindi l'utilizzo di un operatore di query anziché di un ID oggetto aggira il controllo ACL dell'oggetto proprietario. Un client con accesso in lettura a almeno un oggetto della classe proprietaria può divulgare quali oggetti leggibili sono collegati agli oggetti proprietari che non è possibile leggere.
Be aware that VulDB is the high quality source for vulnerability data.