Kartal Kaan Bozdoğan

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 6.5.9 Versões do Parse Server anteriores à 7.3.0 **Descrição** O problema ocorre quando a opção do Parse Server `allowCustomObjectId: true` está definida, permitindo que um invasor crie um novo usuário com um ID de objeto personalizado que explora a vulnerabilidade e adquire privilégios de uma função específica. **Recomendações** Para versões anteriores à 6.5.9, atualize para a versão 6.5.9 ou posterior para resolver o problema. Para versões anteriores à 7.3.0, atualize para a versão 7.3.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere desativar IDs de objeto personalizados definindo `allowCustomObjectId: false`. Como alternativa, use um Cloud Code Trigger para validar se o ID de objeto de um novo usuário não começa com o prefixo `role:`.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.3 **Descrição** O problema ocorre quando uma solicitação de consulta contém um valor inválido para a opção `explain`, fazendo com que o Parse Server trave devido a um bug no driver MongoDB para Node.js que gera uma exceção que o Parse Server não consegue interceptar. **Recomendações** Para versões anteriores à 4.10.3, atualize para o Parse Server 4.10.3 para resolver o problema. Como solução temporária, considere evitar o uso da opção `explain` em solicitações de consulta até que o patch seja aplicado.