Vulnerabilidad en parse-server de parse-community (CVE-2026-64627)
Gravedad CVSS v4.0:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
21/07/2026
Última modificación:
24/10/2026
Descripción
Las versiones de Parse Server >= 9.0.0 anteriores a 9.10.0-alpha.4 y las versiones anteriores a 8.6.85 contienen una vulnerabilidad de divulgación de esquema. Cuando la API de GraphQL está montada con la introspección pública deshabilitada (graphQLPublicIntrospection: false, el valor predeterminado), las sugerencias derivadas del esquema ’¿Quiso decir...?’ aún se devolvían en los mensajes de error de GraphQL producidos durante la coerción de variables, las cuales no estaban cubiertas por el control de endurecimiento de la introspección (que solo manejaba errores de validación). Un llamador no autenticado que posee solo el ID de aplicación público puede recuperar iterativamente identificadores de esquema ocultos - incluyendo nombres de funciones de Cloud Code registradas y nombres de clases y campos de Parse - al enviar consultas o mutaciones cuyas variables contienen valores de enumeración casi coincidentes o nombres de campos de objetos de entrada. Esto es un bypass de seguimiento de GHSA-8cph-rgr4-g5vj. El problema está solucionado en 9.10.0-alpha.4 y 8.6.85.
Impacto
Puntuación base 4.0
6.90
Gravedad 4.0
MEDIA