CVE-2026-33409
CriticalSummary
Parse Server, otwarte oprogramowanie backendowe, ma lukę umożliwiającą obejście uwierzytelniania przed wersjami 8.6.52 i 9.6.0-alpha.41. Atakujący może zalogować się jako dowolny użytkownik, który powiązał swoje konto z zewnętrznym dostawcą uwierzytelniania, znając jedynie identyfikator dostawcy.
Risk Assessment
Luka ta pozwala atakującemu na uzyskanie pełnego dostępu do konta użytkownika, co może prowadzić do poważnych naruszeń danych. Organizacje korzystające z podatnych wersji Parse Server są narażone na nieautoryzowany dostęp do wrażliwych informacji.
Recommendation
Zaleca się aktualizację do wersji 8.6.52 lub 9.6.0-alpha.41, aby usunąć tę lukę. Dodatkowo, warto rozważyć ustawienie opcji allowExpiredAuthDataToken na false, aby zwiększyć bezpieczeństwo.
Original NVD description (English source)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.52 and 9.6.0-alpha.41, an authentication bypass vulnerability allows an attacker to log in as any user who has linked a third-party authentication provider, without knowing the user's credentials. The attacker only needs to know the user's provider ID to gain full access to their account, including a valid session token. This affects Parse Server deployments where the server option allowExpiredAuthDataToken is set to true. The default value is false. This issue has been patched in versions 8.6.52 and 9.6.0-alpha.41.