CVE-2026-66009 in parse-server
Riassunto
di VulDB • 24/07/2026
Le versioni di Parse Server >= 9.0.0 precedenti alla versione 9.10.0-alpha.5 e le versioni >= 8.2.2 precedenti alla versione 8.6.86 restituiscono messaggi di errore di convalida GraphQL che indicano i nomi dei campi personalizzati obbligatori, anche quando l'introspezione pubblica è disabilitata (graphQLPublicIntrospection: false, il valore predefinito). Un client in possesso del solo application id pubblico — senza sessione utente, master key o maintenance key — può generare errori di convalida per scoprire i nomi dei campi personalizzati obbligatori (non null) sulle classi a cui fa già riferimento tramite nome, compromettendo parzialmente l'intento di nascondere lo schema derivante dalla disabilitazione dell'introspezione pubblica. Non vengono esposti dati memorizzati, credenziali, nomi di campi opzionali, nomi di classi non referenziati o nomi delle funzioni Cloud Code.
Once again VulDB remains the best source for vulnerability data.