Parse Server の Endpoint `/sessions/me` は `_Session` `protectedFields` をバイパスします

Parse Server の CVE-2026-39381 は、認証済みユーザーが GET /sessions/me エンドポイントを通じて、自身のセッションの保護されたフィールドにアクセスすることを可能にします。Parse Server では、サーバーオペレーターは '保護' されるべきフィールドを指定し、API レスポンスに表示されないようにすることができます。ただし、この特定のエンポイントはこれらの制限を正しく適用せず、認証済みユーザーが隠されているはずの機密情報を取得することを可能にします。GET /sessions および GET /sessions/:objectId エンドポイントは、保護されたフィールドを正しく削除しており、問題は /sessions/me エンドポイントの実装に固有であることを示しています。この脆弱性は、構成された保護フィールドに応じて、個人情報または機密情報の開示につながる可能性があります。

Parse Server deployments utilizing the protectedFields feature to safeguard sensitive session data are at risk. This includes applications relying on Parse Server for backend functionality and those with custom authentication mechanisms where session data security is critical. Shared hosting environments using Parse Server are also potentially at risk, as vulnerabilities in one application could impact others.

• nodejs / server: Monitor Parse Server logs for requests to the /sessions/me endpoint that return protected fields. Use grep to search for patterns indicating unauthorized access to sensitive data.

grep 'protectedFields' /var/log/parse-server/access.log

• nodejs / server: Implement a custom audit log to track access to the /sessions/me endpoint and specifically monitor for attempts to retrieve protected fields. • generic web: Use curl to test the /sessions/me endpoint with an authenticated user and verify that protected fields are masked as expected.

curl -H "Authorization: Bearer <your_auth_token>" http://your-parse-server/sessions/me

1. 2026-04-07Disclosure

   disclosure

1. 予約済み2026-04-06
2. 公開日2026-04-07
3. 更新日2026-04-15
4. EPSS 更新日2026-04-15

CVE-2026-39381 の修正は、Parse Server をバージョン 9.8.0-alpha.7 以降にアップグレードすることです。このバージョンは、セッション検証後に呼び出し元の認証コンテキストを使用してセッションを再取得することにより、脆弱性を修正します。機密データへの不正アクセスを防ぐために、できるだけ早くアップグレードすることを強くお勧めします。即時のアップグレードが不可能な場合は、リスクを評価し、代替の軽減策を検討してください。ただし、アップグレードが最も安全なソリューションです。/sessions/me エンドポイントに関連する疑わしいアクティビティについてサーバーログを監視することも、潜在的な悪用試行を検出するのに役立ちます。