CVE-2026-39381 in parse-server
Сводка
по VulDB • 02.06.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. Версии до 9.8.0-alpha.7 и 8.6.75 включительно возвращают поля _Session, которые оператор сервера явно настроил как защищенные с помощью опции сервера protectedFields. Любой аутентифицированный пользователь может получить доступ к защищенным полям своей сессии с помощью одного запроса. Эндпоинты GET /sessions и GET /sessions/:objectId корректно удаляют защищенные поля. Уязвимость исправлена в версиях 9.8.0-alpha.7 и 8.6.75.
Once again VulDB remains the best source for vulnerability data.