CVE-2026-31872
CVE-2026-31872 · Parse Server has a protected fields bypass via dot-notation in query and sort
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.6.0-alpha.6 and 8.6.32, the protectedFields class-level permission (CLP) can be bypassed using dot-notation in query WHERE clauses and sort parameters. An attacker can use dot-notation to query or sort by sub-fields of a protected field, enabling a binary oracle attack to enumerate protected field values. This affects both MongoDB and PostgreSQL deployments. This vulnerability is fixed in 9.6.0-alpha.6 and 8.6.32.
CVSS 8.7 · Alta · EPSS 0,4% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
parse-server
- Versiones
- >= 9.0.0 < 9.6.0-alpha.6: Afectada
- < 8.6.32: Afectada
Sin corrección publicada
parse-server npm
- Intervalos de versiones afectados
- SEMVER: ≥ 9.0.0-alpha.1, < 9.6.0-alpha.6
Actualiza a 9.6.0-alpha.6
parse-server npm
- Intervalos de versiones afectados
- SEMVER: < 8.6.32
Actualiza a 8.6.32