CVE-2026-66009 in parse-server
要約
〜によって VulDB • 2026年07月24日
Parse Server のバージョン 9.0.0 以上で 9.10.0-alpha.5 より前、および 8.2.2 以上で 8.6.86 より前は、パブリックなイントロスペクションが無効化されている場合（graphQLPublicIntrospection: false、デフォルト設定）でも、必須のカスタム入力フィールドの名前を含む GraphQL バリデーションエラーメッセージを返します。公開アプリケーション ID のみを保持し、ユーザーセッションやマスターキー、メンテナンスキーを持たないクライアントは、バリデーションエラーを引き起こすことで、既に名前によって参照されているクラスにおける必須（非 null）カスタムフィールドの名前を取得でき、パブリックなイントロスペクションの無効化によるスキーマの隠蔽意図を部分的に無力化する可能性があります。保存されたデータ、資格情報、オプションフィールド名、未参照のクラス名、または Cloud Code 関数名は公開されません。
Once again VulDB remains the best source for vulnerability data.