CVE-2026-109303

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.93 Parse Server versões 9.0.0 até 9.10.1-alpha.12

Descrição Os protectedFields com escopo de identidade (incluindo grupos autenticados, de função ou por usuário) não são aplicados em consultas de contagem que utilizam o operador $relatedTo. Isso permite que um usuário autenticado com acesso de leitura ao objeto proprietário utilize contagens combinadas com uma restrição objectId como um oráculo de associação, revelando potencialmente o tamanho de campos de Relação protegidos e associações confidenciais, como listas de bloqueio ou grupos privados.

Recomendações Atualize o Parse Server para a versão 8.6.93 ou posterior. Atualize o Parse Server para a versão 9.10.1-alpha.13 ou posterior.