CVE-2026-66008
Publiée le 2026-07-24 · Dernière modification le 2026-10-24
Les versions 8.2.2 à 9.9.x de Parse Server sont affectées par une fuite d'informations dans la gestion des erreurs GraphQL. Un attaquant distant non authentifié disposant de l'identifiant public de votre application peut déclencher des erreurs spécifiques pour découvrir les noms de classes de base de données masquées, contournant ainsi partiellement les protections de masquage de schéma. Bien que cela expose des métadonnées sur la structure de votre système, cela ne permet pas d'accéder aux données réelles des utilisateurs ni aux identifiants.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Parse Server versions >= 9.0.0 before 9.10.0-alpha.6 and >= 8.2.2 before 8.6.87 disclose Pointer and Relation target class names through GraphQL validation and input-coercion error messages when public schema introspection is disabled (graphQLPublicIntrospection: false, the default). Because these errors are produced before authentication, authorization, or any resolver runs, an unauthenticated client possessing only the public application ID can trigger errors on Pointer or Relation fields to reconstruct hidden schema class names, partially defeating the schema-hiding protection. Only schema metadata (class names) is exposed; no object data, credentials, or user records are disclosed.