CVE-2026-34224
ŚrednieCVSS 4.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W Parse Server przed wersjami 8.6.64 i 9.7.0-alpha.8, atakujący posiadający ważny token dostawcy uwierzytelniania oraz jeden kod odzyskiwania MFA lub jednorazowe hasło SMS może utworzyć wiele uwierzytelnionych sesji poprzez wysyłanie równoczesnych żądań logowania do endpointu authData. Obejmuje to gwarancję jednorazowości kodów MFA, umożliwiając utrzymanie sesji nawet po odwołaniu wykrytych sesji przez uprawnionego użytkownika.
Ocena ryzyka
Organizacja naraża się na naruszenie bezpieczeństwa uwierzytelniania wieloskładnikowego, co może pozwolić atakującemu na utrzymanie dostępu do konta pomimo działań naprawczych.
Rekomendacja
Należy zaktualizować Parse Server do wersji 8.6.64 lub 9.7.0-alpha.8 (lub nowszej), które zawierają poprawkę.
Oryginalny opis (angielski, źródło NVD)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.64 and 9.7.0-alpha.8, an attacker who possesses a valid authentication provider token and a single MFA recovery code or SMS one-time password can create multiple authenticated sessions by sending concurrent login requests via the authData login endpoint. This defeats the single-use guarantee of MFA recovery codes and SMS one-time passwords, allowing session persistence even after the legitimate user revokes detected sessions. This issue has been patched in versions 8.6.64 and 9.7.0-alpha.8.