CVE-2026-33429 in parse-server
要約
〜によって VulDB • 2026年05月24日
Parse Server は、Node.js を実行できる任意のインフラストラクチャにデプロイできるオープンソースのバックエンドです。バージョン 8.6.54 および 9.6.0-alpha.43 より前では、攻撃者が watch パラメータを使用して保護されたフィールドを対象とした LiveQuery の購読を行うことができます。保護されたフィールドの値はイベントペイロードから適切に削除されますが、更新イベントの存在または非存在によって、保護されたフィールドが変更されたかどうかを判別できるバイナリオラクルが生成されます。ブール型の保護されたフィールドの場合、変更イベントのタイミングはフィールドの値を知ることと同等です。この問題は、バージョン 8.6.54 および 9.6.0-alpha.43 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.