CVE-2026-39381

Name of the Vulnerable Software and Affected Versions Parse Server versões anteriores a 9.8.0-alpha.7 e anteriores a 8.6.75

Description Parse Server, um backend de código aberto que pode ser implantado em qualquer infraestrutura que possa executar Node.js, é afetado por um problema onde o endpoint da API GET /sessions/me retorna incorretamente campos de sessão protegidos. Especificamente, os campos explicitamente configurados como protegidos pelo operador do servidor através da opção de servidor protectedFields são expostos a qualquer usuário autenticado que solicite seus próprios dados de sessão. Os endpoints GET /sessions e GET /sessions/:objectId funcionam corretamente removendo esses campos protegidos.

Recommendations Atualize para a versão 9.8.0-alpha.7 ou posterior do Parse Server. Atualize para a versão 8.6.75 ou posterior do Parse Server.