CVE-2026-30854
CVE-2026-30854 · Parse Server: GraphQL `__type` introspection bypass via inline fragments when public introspection is disabled
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. From version 9.3.1-alpha.3 to before version 9.5.0-alpha.10, when graphQLPublicIntrospection is disabled, __type queries nested inside inline fragments (e.g. ... on Query { __type(name:"User") { name } }) bypass the introspection control, allowing unauthenticated users to perform type reconnaissance. __schema introspection is not affected. This issue has been patched in version 9.5.0-alpha.10.
CVSS 6.9 · Moyenne · EPSS 0,3% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
parse-server
- Versions du logiciel
- >= 9.3.1-alpha.3, < 9.5.0-alpha.10: Concernée
Aucun correctif publié
parse-server npm
- Plages de versions concernées
- SEMVER: ≥ 9.3.1-alpha.3, < 9.5.0-alpha.10
Mettez à jour vers 9.5.0-alpha.10