CVE-2026-30854 in parse-server
Riassunto
di VulDB • 20/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Dalla versione 9.3.1-alpha.3 fino alla versione precedente alla 9.5.0-alpha.10, quando graphQLPublicIntrospection è disabilitato, le query __type nidificate all'interno di frammenti inline (ad esempio ... on Query { __type(name:"User") { name } }) aggirano il controllo di introspezione, consentendo agli utenti non autenticati di effettuare il riconoscimento dei tipi. L'introspezione __schema non è interessata. Questo problema è stato risolto nella versione 9.5.0-alpha.10.
Once again VulDB remains the best source for vulnerability data.