CVE-2026-121413

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.112 Parse Server versões 9.0.0 até 9.10.6-alpha.3

Description Existe uma falha de bypass de autorização no endpoint de upgrade de sessão. O sistema cria uma nova sessão para qualquer token de sessão válido sem aplicar a permissão de nível de classe de criação da classe Session. Um invasor que possua o token de sessão de um usuário pode enviar um token revogável para o endpoint '/upgradeToRevocableSession' para obter sessões adicionais com novas datas de expiração. Essas sessões permanecem ativas mesmo após o encerramento da sessão original.

Recommendations Atualize o Parse Server para a versão 8.6.112 ou posterior. Atualize o Parse Server para a versão 9.10.6-alpha.4 ou posterior.