Parse Community

Vulnerabilities related to Parse Community 5

• High 8.8 Parse Server 認証なしでクラススキーマを削除される脆弱性 Parse Server の MongoDB 環境で、マスターキーを持たない攻撃者が任意のクラスのスキーマを削除できる脆弱性です。これによりフィールド定義や権限設定が消え、データが不正に読み書きされるおそれがあります。影響を受けるのは 8.6.101 より前の版と 9.0.0 から 9.10.4-alpha.4 より前の版で、8.6.101 以降への更新が必要です。 CVE-2026-116165 Oct 25, 22:20
• Medium 6.3 Parse Server 9.0.0 before 9.10.4-alpha.3 Reserved Field Name Injection via Object Writes CVE-2026-116164 Oct 25, 22:20
• High 9.1 Parse Serverの独自認証が素通り、修正版あり Parse Serverで、AuthAdapterを継承した独自の認証アダプターを使っていると、本来の検証処理が呼ばれず、どんな認証情報でも受け入れてしまう弱点が見つかりました。該当するのは独自の認証アダプターを組み込んだ環境で、8.6.102 より前の版と、9.0.0 以降 9.10.5-alpha.2 より前の版が対象です。修正版へ更新するとともに、自社のアプリが独自アダプターを使っているかを早めに確認してください。 CVE-2026-116163 Oct 25, 22:20
• Low 2.1 Parse Server 9.0.0 before 9.10.5-alpha.5 Privilege Escalation via SMS MFA Login CVE-2026-116162 Oct 25, 22:20
• Medium 6.0 Parse Server 9.0.0 before 9.10.5-alpha.4 LiveQuery Information Disclosure via $or Subscriptions CVE-2026-116161 Oct 25, 22:20