CVE-2026-50008

Nome do Software Vulnerável e Versões Afetadas Parse Server versões 9.8.0 até 9.9.1-alpha.3

Descrição A opção de servidor routeAllowList destina-se a restringir o acesso de clientes externos a uma lista específica de rotas de API REST. No entanto, a verificação é aplicada apenas como um middleware do Express contra a URL da requisição HTTP externa. Consequentemente, o manipulador '/batch' despacha sub-requisições para o roteador interno sem reavaliar a lista de permissões. Isso permite que um chamador externo ignore o firewall de rotas configurado pelo operador, emitindo sub-requisições em lote para qualquer rota de API REST omitida da lista de permissões. Outros controles de autorização, como Autenticação, ACL e CLP, permanecem ativos.

Recomendações Atualize para a versão 9.9.1-alpha.3.