PT-2026-123005

CVE-2026-116164

Publicado

2026-10-25

Atualizado

2026-10-30

Descrição por

CVSS 4.0

6.3

Média

MétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.100 Parse Server versões 9.0.0 até 9.10.4-alpha.2

Description O Parse Server não rejeita nomes de campos internos reservados em gravações de objetos de clientes, permitindo que clientes armazenem ou limpem campos internos. Isso pode ser explorado para gravar um campo reservado que faz com que as leituras de um objeto falhem no MongoDB, interrompendo consultas nessa classe para todos os usuários. Além disso, invasores podem limpar seu próprio histórico de senhas e estado de bloqueio de conta para ignorar políticas de senha e mecanismos de bloqueio.

Recommendations Atualize o Parse Server para a versão 8.6.100 ou posterior. Atualize o Parse Server para a versão 9.10.4-alpha.3 ou posterior.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Mtrezza

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-20: Improper Input Validation

Identificadores relacionados