CVE-2026-30947
CVE-2026-30947 · Parse Server ha a bypass of class-level permissions in LiveQuery
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.5.2-alpha.3 and 8.6.16, class-level permissions (CLP) are not enforced for LiveQuery subscriptions. An unauthenticated or unauthorized client can subscribe to any LiveQuery-enabled class and receive real-time events for all objects, regardless of CLP restrictions. All Parse Server deployments that use LiveQuery with class-level permissions are affected. Data intended to be restricted by CLP is leaked to unauthorized subscribers in real time. This vulnerability is fixed in 9.5.2-alpha.3 and 8.6.16.
CVSS 8.7 · Высокий · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Стек: node
Затронутые продукты и версии
parse-server
- Версии
- >= 9.0.0 < 9.5.2-alpha.3: Затронуто
- < 8.6.16: Затронуто
Нет опубликованного исправления
parse-server npm
- Затронутые диапазоны версий
- SEMVER: ≥ 9.0.0, < 9.5.2-alpha.3
Обновитесь до 9.5.2-alpha.3
parse-server npm
- Затронутые диапазоны версий
- SEMVER: < 8.6.16
Обновитесь до 8.6.16