CVE-2026-53726

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.80 Parse Server versões anteriores a 9.9.1-alpha.6

Description Uma consulta de relação usando o operador $relatedTo permite que um cliente não autenticado leia a composição de um campo de Relação. Isso ocorre mesmo que o campo esteja oculto por protectedFields ou que o objeto proprietário da relação esteja restrito por Listas de Controle de Acesso (ACL) ou permissões de nível de classe. Um invasor com o objectId do objeto proprietário pode enumerar objetos vinculados ou usar o operador como um oráculo de associação para confirmar se um objeto específico está vinculado a um pai privado. Isso afeta aplicações que utilizam protectedFields ou ACLs para manter a confidencialidade dos dados, como listas de bloqueio ou associações de grupos privados.

Recommendations Atualize para a versão 8.6.80. Atualize para a versão 9.9.1-alpha.6.