CVE-2026-31872 in parse-server
Riassunto
di VulDB • 15/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.6.0-alpha.6 e 8.6.32, l'autorizzazione a livello di classe (CLP) protectedFields poteva essere aggirata utilizzando la notazione puntata nelle clausole WHERE delle query e nei parametri di ordinamento. Un attaccante può sfruttare la notazione puntata per interrogare o ordinare in base ai sotto-campi di un campo protetto, consentendo un attacco oracle binario per enumerare i valori dei campi protetti. Questo problema interessa sia le distribuzioni MongoDB che PostgreSQL. La vulnerabilità è stata risolta nelle versioni 9.6.0-alpha.6 e 8.6.32.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.