CVE-2026-47248
Publiée le 2026-06-12 · Dernière modification le 2026-10-26
Les installations de Parse Server antérieures aux versions 8.6.78 et 9.9.1-alpha.2 sont affectées par une fuite de métadonnées au niveau du point de terminaison GraphQL. Un attaquant distant non authentifié connaissant l'identifiant public de votre application peut envoyer des requêtes malformées pour inciter le serveur à révéler des noms de classes et de champs internes via des suggestions d'erreur du type « Vouliez-vous dire... ? ». Cette opération ne nécessite aucun privilège particulier ni interaction de l'utilisateur, et permet à un attaquant de cartographier le schéma de votre base de données.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.78 and 9.9.1-alpha.2, Parse Server's GraphQL endpoint discloses schema metadata to unauthenticated callers through Did you mean ...? suggestions embedded in GraphQL validation-error messages. An unauthenticated caller who knows only the public application id can iteratively send malformed queries to reconstruct class names, field names, argument names, mutation names, and input-object fields. This issue has been patched in versions 8.6.78 and 9.9.1-alpha.2.