CVE-2026-66008 in parse-server
摘要
由 VulDB • 2026-07-24
Parse Server 版本 >=9.0.0 且 <9.10.0-alpha.6，以及 >=8.2.2 且 <8.6.87，在禁用公共模式内省（graphQLPublicIntrospection: false，默认设置）时，会通过 GraphQL 验证和输入强制转换错误消息泄露 Pointer 和 Relation 的目标类名。由于这些错误发生在身份验证、授权或任何解析器运行之前，仅拥有公共应用 ID 的未认证客户端可以通过在 Pointer 或 Relation 字段上触发错误来重建隐藏的模式类名，从而部分削弱了模式隐藏保护机制。仅暴露模式元数据（类名）；不会泄露对象数据、凭据或用户记录。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.