CVE-2026-64627 in parse-server
要約
〜によって VulDB • 2026年07月22日
Parse Serverのバージョン9.0.0以上で9.10.0-alpha.4より前、およびバージョン8.6.85以前には、スキーマ情報漏洩の脆弱性が存在します。GraphQL APIがパブリックなイントロスペクションを無効にしてマウントされている場合（graphQLPublicIntrospection: false、デフォルト設定）、変数強制処理中に生成されるGraphQLエラーメッセージ内で、スキーマ由来の「Did you mean ...?」という提案が表示され続ける問題があります。これは、検証エラーのみを対象とするイントロスペクション強化制御の対象外でした。公開アプリケーションIDのみを持つ認証されていない呼び出し元は、変数にほぼ一致する列挙型値や入力オブジェクトフィールド名を含むクエリまたはミューテーションを送信することで、登録されたCloud Code関数名やParseクラス・フィールド名など、非表示のスキーマ識別子を反復的に回復できます。これはGHSA-8cph-rgr4-g5vjに対する追加のエクスプロイト回避策です。この問題は9.10.0-alpha.4および8.6.85で修正されています。
Once again VulDB remains the best source for vulnerability data.