CVE-2026-66009 in parse-server
요약
\~에 의해 VulDB • 2026. 07. 24.
Parse Server 버전 9.0.0 이상에서 9.10.0-alpha.5 미만 및 8.2.2 이상에서 8.6.86 미만의 경우, 공개 인트로스펙션이 비활성화된 상태(graphQLPublicIntrospection: false, 기본값)에서도 필수 사용자 정의 입력 필드의 이름을 포함하는 GraphQL 유효성 검사 오류 메시지를 반환합니다. 공용 앱 ID만 보유하고 있고 사용자 세션, 마스터 키 또는 유지보수 키가 없는 클라이언트는 검증 오류를 트리거하여 이미 이름으로 참조하고 있는 클래스의 필수(non-null) 사용자 정의 필드 이름을 알아낼 수 있으며, 이는 공개 인트로스펙션을 비활성화함으로써 달성하려는 스키마 숨기기 의도를 부분적으로 무력화합니다. 저장된 데이터, 자격 증명, 선택적 필드 이름, 미참조 클래스 이름 또는 Cloud Code 함수명은 노출되지 않습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.