CVE-2026-31872
CVE-2026-31872 · Parse Server has a protected fields bypass via dot-notation in query and sort
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.6.0-alpha.6 and 8.6.32, the protectedFields class-level permission (CLP) can be bypassed using dot-notation in query WHERE clauses and sort parameters. An attacker can use dot-notation to query or sort by sub-fields of a protected field, enabling a binary oracle attack to enumerate protected field values. This affects both MongoDB and PostgreSQL deployments. This vulnerability is fixed in 9.6.0-alpha.6 and 8.6.32.
CVSS 8.7 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
parse-server
- Softwareversionen
- >= 9.0.0 < 9.6.0-alpha.6: Betroffen
- < 8.6.32: Betroffen
Keine Korrektur veröffentlicht
parse-server npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 9.0.0-alpha.1, < 9.6.0-alpha.6
Auf 9.6.0-alpha.6 aktualisieren
parse-server npm
- Betroffene Versionsbereiche
- SEMVER: < 8.6.32
Auf 8.6.32 aktualisieren