PT-2026-133540
CVE-2026-119571
·
Publicado
2026-10-30
·
Atualizado
2026-10-30
Descrição por
CVSS 4.0
6.3
MédiaMétricasAV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas
Parse Server versões 9.7.0 até 9.10.5-alpha.9
Descrição
Existe uma falha de autorização onde as atualizações de
Installation endereçadas por ID de objeto são aplicadas à instalação especificada no cabeçalho X-Parse-Installation-Id. Se a configuração protectedFieldsTriggerExempt estiver habilitada, um invasor que conheça o ID de objeto de outra instalação pode forçar um gatilho beforeSave() a processar os campos protegidos dessa instalação durante uma operação de gravação em outro local.Recomendações
Atualize o Parse Server para a versão 9.10.5-alpha.10 ou posterior.
Desative a configuração
protectedFieldsTriggerExempt para evitar o processamento não autorizado de campos protegidos.Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾