Veille sécuritéBackend & données
P4Moyenne
Parse Server ne vérifiait pas son contrôle d’introspection GraphQL pour les opérations obtenues depuis le cache Apollo des requêtes persistées automatiques. Un utilisateur non authentifié possédant l’identifiant d’application public et la clé client pouvait rejouer une requête d’introspection mise en cache et récupérer le schéma; les versions corrigées indiquées sont 8.6.94 et 9.10.1-alpha.14 pour leurs branches respectives.
GraphQL
IdentifiantCVE-2026-109302
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif8.6.94; 9.10.1-alpha.14
Source : CVE-2026-109302 — NVD
Analyse technique
La faille concerne les requêtes d’introspection GraphQL servies depuis le cache des automatic persisted queries.
Impact, versions et correctif
Événement datéLa fiche NVD fournie indique une publication le 2026-10-12. Le résultat de l’avis GitHub consulté indique cependant un avis GHSA publié le 2026-09-25; l’élément est retenu ici au titre de la publication CVE/NVD pendant la période, sans présenter l’avis GHSA comme nouveau à cette date.
ImpactDivulgation du schéma GraphQL, notamment des noms de classes et de champs privés.
Versions affectéesParse Server 8.2.2 avant 8.6.94; 9.0.0 avant 9.10.1-alpha.14
Version corrigée8.6.94; 9.10.1-alpha.14
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-10-12T17:17:24.090Z
Mise à jour2026-10-12T17:17:24.090Z
Action recommandée
Mettre à niveau vers une version corrigée de la branche utilisée et examiner la configuration GraphQL et le cache des requêtes persistées.
Sources
Priorisation DFS : P4 · 1 source(s).