CVE-2026-109302

Nome do Software Vulnerável e Versões Afetadas Parse Server versões 8.2.2 até 8.6.93 Parse Server versões 9.0.0 até 9.10.1-alpha.13

Description O controle de introspecção GraphQL é aplicado apenas ao texto da operação enviado diretamente com uma requisição, não se estendendo a operações resolvidas a partir do cache de consultas persistidas automáticas do Apollo Server. Isso permite que invasores não autenticados que possuam o Application Id público e a chave do cliente reproduzam uma consulta de introspecção previamente armazenada em cache por um cliente usando uma chave mestre ou de manutenção para recuperar o esquema, incluindo nomes de classes e campos privados.

Recommendations Atualize o Parse Server para a versão 8.6.94 ou posterior. Atualize o Parse Server para a versão 9.10.1-alpha.14 ou posterior.