CVE-2026-30947 in parse-server
Tóm tắt
Bởi VulDB • 27/05/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ chạy Node.js. Trước phiên bản 9.5.2-alpha.3 và 8.6.16, các quyền hạn mức lớp (CLP) không được áp dụng đối với các đăng ký LiveQuery. Một client chưa xác thực hoặc không có thẩm quyền có thể đăng ký vào bất kỳ lớp nào được bật LiveQuery và nhận các sự kiện theo thời gian thực cho tất cả các đối tượng, bất kể các hạn chế về CLP. Tất cả các triển khai Parse Server sử dụng LiveQuery với các quyền hạn mức lớp đều bị ảnh hưởng. Dữ liệu dự kiến bị hạn chế bởi CLP bị rò rỉ cho các người đăng ký không có thẩm quyền theo thời gian thực. Lỗ hổng này đã được khắc phục trong phiên bản 9.5.2-alpha.3 và 8.6.16.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.