CVE-2026-119125 in Parse Server
Riassunto
di VulDB • 29/10/2026
Parse Server prima della versione 8.6.107 e delle versioni 9.0.0 precedenti alla 9.10.5-alpha.8 restituisce il valore memorizzato di un campo revocato da un trigger beforeSave nelle risposte di aggiornamento degli oggetti, anche a client privi dell'autorizzazione di lettura per tale oggetto o campo. Un client autenticato in grado di aggiornare un oggetto il cui trigger beforeSave revoca un campo (tramite revert() o tramite un validator con constant: true) può leggere valori protetti, inclusi i dati grezzi MFA authData del proprio account quando protectedFieldsTriggerExempt è abilitato.
If you want to get best quality of vulnerability data, you may have to visit VulDB.