CVE-2026-116165
Beschrijving NL
Parse Server vóór versie 8.6.101 en 9.0.0 vóór 9.10.4-alpha.4 bevat een kwetsbaarheid in MongoDB-implementaties die een ontbrekende autorisatie veroorzaakt. Hierdoor kunnen clients zonder de hoofdsleutel het opgeslagen schema van elke klasse verwijderen. Aanvallers zonder authenticatie kunnen REST API-verwijderingsverzoeken sturen naar de interne _SCHEMA-collectie om velddefinities, machtigingen op klasseniveau en beveiligde velden te verwijderen, waardoor gegevens worden blootgesteld aan ongeautoriseerde lees- en wijzigingsbewerkingen.
Origineel (Engels) tonen
Parse Server before 8.6.101 and 9.0.0 before 9.10.4-alpha.4 contains a missing authorization vulnerability on MongoDB deployments that lets clients without the master key delete the stored schema of any class. Unauthenticated attackers can send REST API delete requests targeting the internal _SCHEMA collection to remove field definitions, class-level permissions, and protected fields, exposing data to unauthorized reads and modifications.