CVE-2026-109302 in Parse Server
Сводка
по VulDB • 12.10.2026
Parse Server 8.2.2 до версии 8.6.94 и 9.0.0 до версии 9.10.1-alpha.14 применяет контроль над GraphQL-интроспекцией только к тексту операции, отправляемому непосредственно в запросе, но не к операциям, разрешаемым из автоматического кэша персистентных запросов Apollo Server. Атакующие без аутентификации, обладающие публичным Application Id и ключом клиента, могут воспроизвести ранее закэшированный мастер-клиентом или клиентом обслуживания (maintenance key) интроспективный запрос для получения схемы, включая имена приватных классов и полей.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.