3.1
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, при специфични условия, с обикновен потребителски вход и без действие от потребителя.
- Експлоатация: няма данни за експлоатация
- Атаката не може да се автоматизира
Описание
Оригинално описание
Parse Server from 9.7.0 before 9.10.5-alpha.7 contains an information disclosure vulnerability that allows clients to receive protected field values written by beforeSave triggers using dot notation keys. When protectedFieldsSaveResponseExempt is set to false, clients with create or update permission can read values a trigger writes beneath a protected field in the same request.
Засегнати продукти
- parse-community parse-server: 9.7.0 преди 9.10.5-alpha.7; 9.10.5-alpha.7
Вид слабост
История
- 30 октомври 2026 Публикувано
Други уязвимости в parse-community parse-server
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-119570
- https://nvd.nist.gov/vuln/detail/CVE-2026-119570
- https://github.com/parse-community/parse-server/security/advisories/GHSA-6mfr-rv66-x7m3
- https://www.vulncheck.com/advisories/parse-server-9.7.0-before-9.10.5-alpha.7-protected-field-exposure-in-save-responses