CVE-2026-120310

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.109 Parse Server versões 9.0.0 até 9.10.6-alpha.1

Descrição Valores de campos armazenados são retornados em respostas de atualização de objetos sem a verificação de acesso de leitura. Isso permite que clientes com permissões de nível de classe ou Listas de Controle de Acesso (ACLs) de objeto que permitem atualizações, mas restringem a leitura, visualizem dados do objeto. Isso pode ser explorado para ler resultados de operações atômicas como Increment, Add, AddUnique e Remove, bem como valores definidos por gatilhos de Cloud Code. Sob certas condições, o uso de chaves de notação de ponto pode permitir a recuperação de todo o campo pai armazenado.

Recomendações Atualize o Parse Server para a versão 8.6.109 ou posterior. Atualize o Parse Server para a versão 9.10.6-alpha.1 ou posterior.