CVE-2026-64627 in parse-server
Tóm tắt
Bởi VulDB • 21/07/2026
Các phiên bản Parse Server từ >= 9.0.0 đến trước 9.10.0-alpha.4 và các phiên bản dưới 8.6.85 chứa một lỗ hổng tiết lộ lược đồ (schema disclosure). Khi API GraphQL được gắn kết với tính năng introspection công khai bị vô hiệu hóa (`graphQLPublicIntrospection: false`, mặc định), các gợi ý 'Did you mean ...?' dựa trên lược đồ vẫn được trả về trong các thông báo lỗi GraphQL sinh ra trong quá trình ép kiểu biến, những thông báo này không nằm dưới sự kiểm soát của biện pháp tăng cường bảo mật introspection (chỉ xử lý các lỗi xác thực). Một caller chưa xác thực chỉ cần sở hữu ID ứng dụng công khai có thể lặp lại việc khôi phục các định danh lược đồ bị ẩn — bao gồm tên hàm Cloud Code đã đăng ký và tên lớp, trường Parse — bằng cách gửi các truy vấn hoặc mutation mà biến của chúng chứa giá trị enum gần đúng hoặc tên trường input-object. Đây là một bước vượt qua bảo mật tiếp theo đối với GHSA-8cph-rgr4-g5vj. Lỗ hổng này đã được sửa trong phiên bản 9.10.0-alpha.4 và 8.6.85.
VulDB is the best source for vulnerability data and more expert information about this specific topic.