CVE-2026-100631

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.90 Parse Server versões 9.0.0 até 9.10.1-alpha.8

Description A lógica de deduplicação de tokens de dispositivo para registros de instalação não valida o tipo dos campos de instalação fornecidos pelo cliente antes de utilizá-los para construir consultas ao banco de dados. Um invasor remoto não autenticado que conheça o ID público do aplicativo pode enviar valores que não sejam strings nesses campos para injetar operadores de consulta. Isso faz com que a limpeza de deduplicação — que é executada com privilégios elevados antes da avaliação das permissões de nível de classe — exclua todos os registros de dispositivos no aplicativo ou um subconjunto escolhido pelo invasor. Os registros excluídos não podem ser recuperados no servidor, impossibilitando a entrega de notificações push até que todos os clientes se registrem novamente. Qualquer implantação que exponha a API REST aos clientes e utilize notificações push é afetada em sua configuração padrão.

Recommendations Atualize para a versão 8.6.90 ou posterior. Atualize para a versão 9.10.1-alpha.9 ou posterior.