CVE-2026-116161
CVE-2026-116161 · Parse Server 9.0.0 before 9.10.5-alpha.4 LiveQuery Information Disclosure via $or Subscriptions
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Parse Server before 8.6.103 and 9.0.0 before 9.10.5-alpha.4 contains an information disclosure vulnerability in LiveQuery. Its subscription hash omits constraints next to a $or operator, including the _Session owner filter and beforeSubscribe constraints, so distinct subscriptions are grouped together. Authenticated clients subscribing with $or queries can receive other users' events, including session tokens usable for impersonation.
CVSS 6.0 · Средний · EPSS 0,3% · Есть исправление
- Опубликовано
- Обновлено
Затронутые продукты и версии
parse-server
- Версии
- ≥ 9.0.0, < 9.10.5-alpha.4: Затронуто (semver)
- 9.10.5-alpha.4: Не затронуто (semver)
Обновитесь до 9.10.5-alpha.4
parse-server
- Версии
- ≥ 0, < 8.6.103: Затронуто (semver)
- 8.6.103: Не затронуто (semver)
Обновитесь до 8.6.103