CVE-2026-30947 in parse-server
要約
〜によって VulDB • 2026年05月27日
Parse Serverは、Node.jsを実行できるインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。9.5.2-alpha.3および8.6.16より前のバージョンでは、LiveQueryサブスクリプションに対してクラスレベルの権限（CLP）が適用されません。認証されていないまたは権限のないクライアントは、LiveQueryが有効な任意のクラスにサブスクライブし、CLPの制限に関係なく、すべてのオブジェクトのリアルタイムイベントを受信できます。クラスレベルの権限を使用してLiveQueryを利用しているParse Serverのすべてのデプロイメントが影響を受けます。CLPによって制限されるはずのデータが、権限のないサブスクライバーにリアルタイムで漏洩します。この脆弱性は9.5.2-alpha.3および8.6.16で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.