CVE-2026-109303

اسم البرنامج المصاب والإصدارات المتأثرة Parse Server الإصدارات السابقة لـ 8.6.93 Parse Server الإصدارات من 9.0.0 إلى 9.10.1-alpha.12

الوصف لا يتم فرض protectedFields ذات النطاق الهوياتي (بما في ذلك المجموعات الموثقة أو المجموعات القائمة على الأدوار أو المجموعات الخاصة بالمستخدم) في استعلامات العد التي تستخدم عامل التشغيل $relatedTo. يتيح ذلك للمستخدم الموثق الذي يملك صلاحية القراءة للكائن المالك دمج عمليات العد مع قيد objectId كأداة استعلام عن العضوية (membership oracle)، مما قد يؤدي إلى كشف حجم حقول العلاقة المحمية والعضويات السرية، مثل قوائم الحظر أو المجموعات الخاصة.

التوصيات تحديث Parse Server إلى الإصدار 8.6.93 أو أحدث. تحديث Parse Server إلى الإصدار 9.10.1-alpha.13 أو أحدث.