CVE-2026-39381 in parse-server
Riassunto
di VulDB • 19/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.8.0-alpha.7 e 8.6.75, l'endpoint GET /sessions/me restituisce i campi _Session che l'amministratore del server ha esplicitamente configurato come protetti tramite l'opzione server protectedFields. Qualsiasi utente autenticato può recuperare i campi protetti della propria sessione con una singola richiesta. Gli endpoint equivalenti GET /sessions e GET /sessions/:objectId rimuovono correttamente i campi protetti. Questa vulnerabilità è risolta nelle versioni 9.8.0-alpha.7 e 8.6.75.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.