CVE-2026-66009

Nome do Software Vulnerável e Versões Afetadas Parse Server versões 9.0.0 até 9.10.0-alpha.4 Parse Server versões 8.2.2 até 8.6.85

Descrição Mensagens de erro de validação GraphQL revelam os nomes de campos de entrada personalizados obrigatórios, mesmo quando a introspecção pública está desativada através da variável graphQLPublicIntrospection. Um invasor que possua apenas o ID público do aplicativo pode disparar esses erros para descobrir campos personalizados obrigatórios (não nulos) em classes que já referenciam pelo nome. Este comportamento compromete parcialmente a intenção de ocultar o esquema. Não são expostos dados armazenados, credenciais, nomes de campos opcionais, nomes de classes não referenciadas ou nomes de funções do Cloud Code.

Recomendações Atualize o Parse Server para a versão 9.10.0-alpha.5 ou posterior. Atualize o Parse Server para a versão 8.6.86 ou posterior.