CVE-2026-47248— Parse Platform parse server 信息泄露漏洞
Affected Version Matrix 2
| ベンダー | プロダクト | Version Range | ステータス |
|---|---|---|---|
| parse-community | parse-server | < 8.6.78 | affected |
>= 9.0.0, < 9.9.1-alpha.2 | affected |
新しい脆弱性情報の通知を購読するログインして購読
I. CVE-2026-47248の基本情報
脆弱性情報
脆弱性についてご質問がありますか？Shenlongの分析が参考になるかご確認ください！
Shenlongの10の質問を表示 ↗ 高度な大規模言語モデル技術を使用していますが、出力には不正確または古い情報が含まれる可能性があります。Shenlongはデータの正確性を確保するよう努めていますが、実際の状況に基づいて検証・判断してください。
脆弱性タイトル
Parse Server: GraphQL "Did you mean" validation suggestions disclose schema to unauthenticated callers
ソース: CVE Program / CVE List V5
脆弱性説明
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.78 and 9.9.1-alpha.2, Parse Server's GraphQL endpoint discloses schema metadata to unauthenticated callers through Did you mean ...? suggestions embedded in GraphQL validation-error messages. An unauthenticated caller who knows only the public application id can iteratively send malformed queries to reconstruct class names, field names, argument names, mutation names, and input-object fields. This issue has been patched in versions 8.6.78 and 9.9.1-alpha.2.
ソース: CVE Program / CVE List V5
CVSS情報
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
ソース: CVE Program / CVE List V5
脆弱性タイプ
通过错误消息导致的信息暴露
ソース: CVE Program / CVE List V5
脆弱性タイトル
Parse Platform parse server 信息泄露漏洞
ソース: CNNVD (China National Vulnerability Database)
脆弱性説明
Parse Platform Parse Server是Parse Platform组织开源的一个开源后端,可以部署到任何可以运行 Node.js 的基础设施。 Parse Platform Parse Server 8.6.78之前版本和9.9.1-alpha.2之前版本存在信息泄露漏洞，该漏洞源于GraphQL端点通过验证错误消息中的“Did you mean...?”建议向未经验证的调用者泄露模式元数据，可能导致仅知道公共应用程序ID的未经验证调用者通过迭代发送畸形查询重构类名、字段名、参数名、变异
ソース: CNNVD (China National Vulnerability Database)
CVSS情報
N/A
ソース: CNNVD (China National Vulnerability Database)
脆弱性タイプ
N/A
ソース: CNNVD (China National Vulnerability Database)
影響を受ける製品
| ベンダー | プロダクト | 影響を受けるバージョン | CPE | 購読 |
|---|---|---|---|---|
| parse-community | parse-server | < 8.6.78 | - |
II. CVE-2026-47248の公開POC
| # | POC説明 | ソースリンク | Shenlongリンク |
|---|
AI生成POCプレミアム
公開POCは見つかりませんでした。
ログインしてAI POCを生成III. CVE-2026-47248のインテリジェンス情報
请登录查看更多情报信息。
CVE-2026-47248 补丁与修复 (2)
CVE-2026-47248 厂商安全公告 (1)
Same Patch Batch · parse-community · 2026-06-12 · 6 CVEs total
| CVE-2026-53726 | Parse Server: Relation `$relatedTo` query bypasses `protectedFields` and owning-object ACL | |
| CVE-2026-53724 | Parse Server: Stored XSS via trailing-dot filename bypassing file upload extension blockli | |
| CVE-2026-53725 | Parse Server: Endpoints `/login` and `/verifyPassword` disclose MFA secrets and protected | |
| CVE-2026-47138 | Parse Server: Pre-authentication denial of service via client version header regex backtra | |
| CVE-2026-50008 | Parse Server: Server option routeAllowList is bypassable through batch sub-requests |
IV. 関連脆弱性
同じ製品: parse-server
- CVE-2026-64627
Parse Server 9.0.0 Schema Disclosure via GraphQL Variable Co - CVE-2026-61448
Parse Server 9.0.0 Stored XSS via malformed Content-Type - CVE-2026-57481
Parse Server: LiveQuery discloses object data to a subscribe - CVE-2026-57480
Parse Server: Denial of service via exponential-time process - CVE-2026-55778
Parse Server: Stored XSS via non-standard file extension byp
同じベンダー: parse-community
- CVE-2026-64627
Parse Server 9.0.0 Schema Disclosure via GraphQL Variable Co - CVE-2026-61448
Parse Server 9.0.0 Stored XSS via malformed Content-Type - CVE-2026-57481
Parse Server: LiveQuery discloses object data to a subscribe - CVE-2026-57480
Parse Server: Denial of service via exponential-time process - CVE-2026-55778
Parse Server: Stored XSS via non-standard file extension byp
同じ弱点: CWE-209
- CVE-2026-13182
RadAsyncUpload Client-State Decrypt-vs-Parse Oracle Vulnerab - CVE-2026-64627
Parse Server 9.0.0 Schema Disclosure via GraphQL Variable Co - CVE-2026-63748
SurrealDB before 3.1.0 Information Disclosure via Error Mess - CVE-2026-8861
Security vulnerabilities have been found in IBM Verify Ident - CVE-2024-23575
HCL Aftermarket EPC 信息泄露漏洞
V. CVE-2026-47248へのコメント
まだコメントはありません