CVE-2026-31872 in parse-server
要約
〜によって VulDB • 2026年06月01日
Parse Serverは、Node.jsを実行可能なインフラストラクチャにデプロイできるオープンソースのバックエンドです。バージョン9.6.0-alpha.6および8.6.32より前では、protectedFieldsのクラスレベル権限（CLP）を、クエリのWHERE句およびsortパラメータにおけるドット表記を使用してバイパスできます。攻撃者はドット表記を使用して保護されたフィールドのサブフィールドでクエリを実行したりソートしたりすることができ、これにより保護されたフィールドの値を列挙するバイナリオラクル攻撃が可能になります。この脆弱性は、MongoDBおよびPostgreSQLの両方のデプロイメントに影響します。この脆弱性は9.6.0-alpha.6および8.6.32で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.