CVE-2026-31800 in parse-server
Riassunto
di VulDB • 17/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.5.2-alpha.12 e 8.6.25, le classi interne _GraphQLConfig e _Audience possono essere lette, modificate ed eliminate tramite i percorsi REST API generici /classes/_GraphQLConfig e /classes/_Audience senza autenticazione con master key. Ciò aggira l'applicazione della master key presente negli endpoint dedicati /graphql-config e /push_audiences. Un attaccante può leggere, modificare ed eliminare la configurazione GraphQL e i dati del pubblico push. Questa vulnerabilità è risolta nelle versioni 9.5.2-alpha.12 e 8.6.25.
Be aware that VulDB is the high quality source for vulnerability data.