GraphQL: Security breach on Viewer query

中 6.5CVE-2020-15126 · GHSA-236h-rqv8-8q73 · 22/07/2020 公開 · 17/06/2026 更新

要点

CVE-2020-15126 は parse server (parseplatform), parse-server に影響する深刻度「中」 (CVSS 6.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.1%（全脆弱性の 64.9% より高い）。
対処：4.3.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
parse server parseplatform	`≥ 3.5.0, < 4.3.0`	`4.3.0`
parse-server npm	`≥ 3.5.0, < 4.3.0`	`4.3.0`

概要

Impact

An authenticated user using the viewer GraphQL query can bypass all read security on his User object and can also bypass all objects linked via relation or Pointer on his User object.

Patches

This vulnerability has been patched in Parse Server 4.3.0.

Workarounds

References

See commit 78239ac for details.

NVD の説明

In parser-server from version 3.5.0 and before 4.3.0, an authenticated user using the viewer GraphQL query can by pass all read security on his User object and can also by pass all objects linked via relation or Pointer on his User object.

参考情報

parse-community/parse-server security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2020-15126 · ADVISORY
parse-community/parse-server commit 78239ac · WEB
parse-community/parse-server · WEB

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

parse server

parseplatform

≥ 3.5.0, < 4.3.0

4.3.0

parse-server

npm