CVE-2026-109303 in Parse Server
요약
\~에 의해 VulDB • 2026. 10. 12.
Parse Server 8.6.93 이전 버전 및 9.0.0의 경우 9.10.1-alpha.13 미만 버전에서는 $relatedTo 연산자를 사용하는 count 쿼리에서 identity-scoped protectedFields(인증된 사용자, 역할 또는 per-user 그룹)가 강제되지 않아 보호되는 Relation 필드의 크기가 노출됩니다. 소유 객체를 읽을 수 있는 인증된 사용자는 objectId 제약 조건과 카운트를 결합하여 membership oracle로 활용함으로써 프라이빗 그룹이나 차단 목록과 같은 기밀 멤버십 정보를 유출할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.