CVE-2026-112769
CVE-2026-112769 · Parse Server before 8.6.98 and 9.x before 9.10.3-alpha.1 Session Class-Level Permission Bypass
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Parse Server before 8.6.98 and 9.0.0 before 9.10.3-alpha.1 does not enforce the create and addField class-level permissions of the _Session class when creating sessions. An authenticated user, or anyone holding that user's session token, can send POST requests to /sessions or /classes/_Session to create additional sessions for that user and add fields to _Session; these sessions are not revoked when the original session is logged out.
CVSS 2.3 · Faible · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Produits et versions concernés
parse-server
- Versions du logiciel
- ≥ 9.0.0, < 9.10.3-alpha.1: Concernée (semver)
- 9.10.3-alpha.1: Non concernée (semver)
Mettez à jour vers 9.10.3-alpha.1
parse-server
- Versions du logiciel
- ≥ 0, < 8.6.98: Concernée (semver)
- 8.6.98: Non concernée (semver)
Mettez à jour vers 8.6.98