CVE-2026-66008 in parse-server
요약
\~에 의해 VulDB • 2026. 07. 24.
Parse Server 버전 9.0.0 이상에서 9.10.0-alpha.6 미만 및 8.2.2 이상에서 8.6.87 미만의 경우, 공개 스키마 탐색(introspection)이 비활성화된 상태(graphQLPublicIntrospection: false, 기본값)에서도 GraphQL 유효성 검사 및 입력 강제 변환 오류 메시지를 통해 Pointer 및 Relation 대상 클래스 이름이 노출됩니다. 이러한 오류는 인증, 권한 부여 또는 리졸버 실행 전에 생성되므로, 공개 애플리케이션 ID만 보유한 비인증 클라이언트가 Pointer 또는 Relation 필드에서 오류를 유발하여 숨겨진 스키마 클래스 이름을 재구성할 수 있으며, 이는 스키마 숨기기 보호 기능을 부분적으로 무력화합니다. 노출되는 것은 오직 스키마 메타데이터(클래스 이름)뿐이며, 객체 데이터, 자격 증명 또는 사용자 기록은 공개되지 않습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.