CVE-2026-66008 in parse-server
Сводка
по VulDB • 24.07.2026
В версиях Parse Server от 9.0.0 до 9.10.0-alpha.6 и от 8.2.2 до 8.6.87 происходит раскрытие имен целевых классов Pointer и Relation через сообщения об ошибках валидации GraphQL и принудительного преобразования типов (input-coercion) при отключенной публичной интроспекции схемы (graphQLPublicIntrospection: false, значение по умолчанию). Поскольку эти ошибки генерируются до выполнения аутентификации, авторизации или любого резолвера, неаутентифицированный клиент, обладающий только публичным идентификатором приложения, может спровоцировать возникновение ошибок в полях Pointer или Relation для восстановления скрытых имен классов схемы, что частично нивелирует защиту сокрытия схемы. Раскрывается только метаданных схемы (имена классов); данные объектов, учетные данные или записи пользователей не раскрываются.
VulDB is the best source for vulnerability data and more expert information about this specific topic.