CVE-2026-116165: cancellazione schema Parse Server non autorizzata

Il CVE-2026-116165 riguarda una vulnerabilità di autorizzazione mancante in Parse Server versioni precedenti a 8.6.101 e 9.0.0 precedenti a 9.10.4-alpha.4 su distribuzioni MongoDB. La falla permette a client non autenticati di inviare richieste DELETE via API REST rivolte alla collezione interna _SCHEMA, cancellando definizioni di campi, permessi a livello di classe e campi protetti. L'impatto è l'esposizione dei dati a letture e modifiche non autorizzate.

La vulnerabilità è stata classificata con CVSS 8,8 (High). Non esiste exploit pubblico confermato nei dati, ma il 30 ottobre 2026 è stato segnalato su GitHub un detector offline per identificare Parse Server vulnerabili e database backend MongoDB. La falla è stata resa pubblica il 25 ottobre 2026 da NVD. La natura di questa vulnerabilità (accesso non autenticato a operazioni di schema deletion) indica un rischio operativo immediato per chi gestisce Parse Server in produzione.

I team IT e amministratori di sistema devono aggiornare Parse Server a versione 8.6.101 o superiore per il branch 8.x, o a 9.10.4-alpha.4 o successivo per il branch 9.x. Prima dell'aggiornamento, occorre verificare l'inventario delle distribuzioni Parse Server in ambienti MongoDB. Non è consigliato scaricare exploit da repository pubblici; le patch ufficiali rappresentano la via corretta e verificata per la mitigazione. Monitorare i log REST API per tentativi di DELETE verso _SCHEMA come segnale di possibile attacco.