CVE-2026-66008 in parse-server
要約
〜によって VulDB • 2026年07月24日
Parse Server のバージョン 9.0.0 以上で 9.10.0-alpha.6 より前、および 8.2.2 以上で 8.6.87 より前は、パブリックスキーマイントロスペクションが無効化されている場合（graphQLPublicIntrospection: false、デフォルト設定）、GraphQL の検証エラーメッセージや入力強制変換エラーメッセージを通じて Pointer や Relation のターゲットクラス名を漏洩させます。これらのエラーは認証認可または任意のリゾルバーの実行前に生成されるため、パブリックアプリケーション ID を持つだけの一時的なクライアントが Pointer または Relation フィールドに対してエラーを引き起こすことで隠蔽されたスキーマのクラス名を再構築でき、スキーマ非表示保護機能が部分的に無効化されます。露出するのはスキーマメタデータ（クラス名）のみであり、オブジェクトデータや認証情報、ユーザーレコードは一切漏洩しません。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.