CVE-2026-57481
NiskieCVSS 2.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Podatność w Parse Server umożliwia subskrybentowi LiveQuery odbieranie wartości pól obiektu, do których nie ma uprawnień odczytu. Problem występuje, gdy pojedyncza operacja zapisu zmienia zarówno pole obiektu, jak i uprawnienia ACL subskrybenta, powodując błędne przetwarzanie zdarzeń leave i enter.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych danych, ponieważ nieautoryzowani użytkownicy mogą uzyskać dostęp do pól obiektów, które powinny być dla nich ukryte.
Rekomendacja
Należy niezwłocznie zaktualizować Parse Server do wersji 9.9.1-alpha.13 lub 8.6.83, które zawierają poprawkę eliminującą tę podatność.
Oryginalny opis (angielski, źródło NVD)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.9.1-alpha.13 and 8.6.83, a LiveQuery subscriber could receive object field values they were not authorized to read when a single save changed both an object field and the subscriber's ACL read access, because leave and enter events included the wrong object state. This issue is fixed in versions 9.9.1-alpha.13 and 8.6.83.