CVE-2026-64627 in parse-server
요약
\~에 의해 VulDB • 2026. 07. 21.
Parse Server 버전 >= 9.0.0 but < 9.10.0-alpha.4 및 버전 < 8.6.85에는 스키마 정보 노출 취약점이 존재합니다. GraphQL API가 공개적인 인트로스펙션이 비활성화된 상태(graphQLPublicIntrospection: false, 기본값)로 마운트되어 있더라도, 변수 강제 변환(variable coercion) 중에 생성된 GraphQL 오류 메시지에서 스키마 기반 'Did you mean ...?' 제안 사항이 여전히 반환되었습니다. 이는 검증 오류(validation errors)만 처리하는 인트로스펙션 강화 제어(introspection-hardening control)의 적용 범위에 포함되지 않았습니다. 공개 애플리케이션 ID만을 가진 비인증 사용자는 near-miss enum 값이나 입력 객체 필드 이름을 변수에 포함하는 쿼리 또는 뮤테이션을 제출하여 숨겨진 스키마 식별자(등록된 Cloud Code 함수 이름 및 Parse 클래스 및 필드 이름 포함)를 반복적으로 복구할 수 있습니다. 이는 GHSA-8cph-rgr4-g5vj의 후속 우회 사례입니다. 이 문제는 9.10.0-alpha.4 및 8.6.85에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.