CVE-2026-119125

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.107 Parse Server versões 9.0.0 até 9.10.5-alpha.7

Description Existe um problema onde o servidor retorna o valor armazenado de um campo que foi revertido por um gatilho beforeSave em respostas de atualização de objeto. Isso ocorre mesmo que o cliente não tenha acesso de leitura ao objeto ou ao campo específico. Um cliente autenticado pode explorar isso ao atualizar um objeto onde o gatilho beforeSave reverte um campo usando revert() ou um validador constante: true. Isso permite que o cliente leia valores protegidos, como o authData bruto de MFA de sua própria conta quando o protectedFieldsTriggerExempt está habilitado.

Recommendations Atualize o Parse Server para a versão 8.6.107 ou posterior. Atualize o Parse Server para a versão 9.10.5-alpha.8 ou posterior.