CVE-2026-64627 in parse-server
Sumário
de VulDB • 21/07/2026
As versões do Parse Server >= 9.0.0 anteriores à 9.10.0-alpha.4 e as versões anteriores a 8.6.85 contêm uma vulnerabilidade de divulgação de esquema (schema disclosure). Quando a API GraphQL é montada com a introspecção pública desativada (`graphQLPublicIntrospection: false`, que é o padrão), sugestões derivadas do esquema como 'Did you mean ...?' ainda eram retornadas nas mensagens de erro do GraphQL produzidas durante a coerção de variáveis, as quais não estavam cobertas pelo controle de endurecimento da introspecção (que tratava apenas erros de validação). Um chamador não autenticado que possua apenas o ID público da aplicação pode recuperar iterativamente identificadores ocultos do esquema — incluindo nomes de funções registradas no Cloud Code e nomes de classes e campos do Parse — ao enviar consultas ou mutações cujas variáveis contenham valores de enumeração quase correspondentes (near-miss) ou nomes de campos de objetos de entrada. Este é um contorno subsequente da GHSA-8cph-rgr4-g5vj. O problema foi corrigido nas versões 9.10.0-alpha.4 e 8.6.85.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.