CVE-2026-116164
Beschrijving NL
Parse Server vóór 8.6.100 en 9.0.0 vóór 9.10.4-alpha.3 verwerpt geen gereserveerde interne veldnamen in schrijfopdrachten voor clientobjecten, waardoor clients interne velden kunnen opslaan of wissen. Aanvallers kunnen een gereserveerd veld schrijven dat het lezen van een object mislukt op MongoDB, waardoor zoekopdrachten op die klasse voor alle gebruikers worden verstoord, of hun eigen accountvergrendelingsstatus en wachtwoordgeschiedenis wissen om vergrendelings- en wachtwoordbeleid te omzeilen.
Origineel (Engels) tonen
Parse Server before 8.6.100 and 9.0.0 before 9.10.4-alpha.3 does not reject reserved internal field names in client object writes, allowing clients to store or clear internal fields. Attackers can write a reserved field that makes reads of an object fail on MongoDB, disrupting queries on that class for all users, or clear their own account lockout state and password history to bypass lockout and password policies.