CVE-2026-31800: Kritische Sicherheitslücke in Parse Server erlaubt unbefugten Zugriff

Zusammenfassung

Eine kritische Sicherheitslücke (CVE-2026-31800) in Parse Server, einer Open-Source-Backend-Lösung, ermöglicht es Angreifern, interne Klassen wie _GraphQLConfig und _Audience über ungeschützte REST-API-Routen auszulesen, zu manipulieren und zu löschen. Dies umgeht die Master-Key-Authentifizierung, die eigentlich für diese Funktionen vorgesehen ist. Betroffen sind Parse Server-Versionen vor 9.5.2-alpha.12 und 8.6.25. Der Patch behebt dieses Problem.

Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.5.2-alpha.12 and 8.6.25, the _GraphQLConfig and _Audience internal classes can be read, modified, and deleted via the generic /classes/_GraphQLConfig and /classes/_Audience REST API routes without master key authentication. This bypasses the master key enforcement that exists on the dedicated /graphql-config and /push_audiences endpoints. An attacker can read, modify and delete GraphQL configuration and push audience data. This vulnerability is fixed in 9.5.2-alpha.12 and 8.6.25.