CVE-2026-87806
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Parse Server w wersjach do 8.6.87 oraz od 9.0.0 do 9.10.1-alpha.7 zawiera obejście uwierzytelniania we wbudowanym adapterze LDAP. Adapter przekazuje hasło dostarczone przez klienta do katalogu bez weryfikacji, czy hasło zostało podane, i traktuje każdą odpowiedź bez błędu jako dowód uwierzytelnienia. Atakujący bez uwierzytelnienia, znając nazwę użytkownika w katalogu, może uzyskać ważny token sesji dla tego konta, co prowadzi do przejęcia konta.
Ocena ryzyka
Ryzyko przejęcia konta użytkownika bez znajomości hasła, co może prowadzić do nieautoryzowanego dostępu do danych i funkcji aplikacji. Podatność dotyczy tylko instalacji z włączonym adapterem LDAP, a katalogi odrzucające nieuwierzytelnione proste wiązanie nie są podatne.
Rekomendacja
Zaktualizuj Parse Server do wersji 8.6.88 lub 9.10.1-alpha.7, które wymagają niepustego hasła i odrzucają żądanie przed kontaktem z katalogiem. Jeśli nie można natychmiast zaktualizować, rozważ wyłączenie adaptera LDAP lub skonfigurowanie katalogu tak, aby odrzucał nieuwierzytelnione proste wiązanie.
Inne podatności w Parse Server
Zobacz wszystkie- CVE-2026-34532Krytyczne
Parse Server przed wersjami 8.6.67 i 9.7.0-alpha.11 zawiera podatność, w której atakujący może ominąć kontrolę dostępu walidatora Cloud Function, dodając "prototype.constructor" do nazwy funkcji w URL. Powoduje to pominięcie całej kontroli dostępu, umożliwiając nieuwierzytelnionym wywołanie funkcji chronionych walidatorami.
- CVE-2026-27804Krytyczne
Parse Server przed wersjami 8.6.3 i 9.1.1-alpha.4 jest podatny na atak, w którym nieautoryzowany napastnik może sfałszować token uwierzytelniający Google z algorytmem 'alg: "none"', co pozwala na logowanie się jako dowolny użytkownik powiązany z kontem Google bez znajomości jego danych uwierzytelniających.
- CVE-2025-67727Krytyczne
Parse Server to open source backend, który można wdrożyć na dowolnej infrastrukturze działającej na Node.js. W wersjach przed 8.6.0-alpha.2, przepływ pracy GitHub CI jest wyzwalany w sposób, który przyznaje podwyższone uprawnienia GitHub Actions, dając dostęp do sekretów GitHub i uprawnień zapisu zdefiniowanych w przepływie pracy. Kod z forka lub skrypty cyklu życia mogą być potencjalnie uwzględnione. Dotyczy to tylko infrastruktury CI/CD repozytorium, w tym publicznych forków GitHub z włączonym GitHub Actions. Problem został naprawiony w wersji 8.6.0-alpha.2 oraz commitach 6b9f896 i e3d27fe.
- CVE-2023-36475Krytyczne
Parse Server przed wersjami 5.5.2 i 6.2.1 jest podatny na zanieczyszczenie prototypu, co może prowadzić do zdalnego wykonania kodu poprzez parser BSON MongoDB.
- CVE-2026-123487Wysokie
Parse Server przed wersją 8.6.115 oraz 9.0.0 przed 9.10.7-alpha.1 waliduje format adresu e-mail wyrażeniem regularnym, którego czas działania rośnie kwadratowo wraz z długością danych wejściowych i które jest stosowane bez limitu długości. Nieuwierzytelniony atakujący znający Application ID może wysłać żądanie rejestracji lub zalogowany użytkownik może zaktualizować własny e-mail z długim spreparowanym adresem, blokując pętlę zdarzeń Node.js i powodując odmowę usługi dla wszystkich klientów.
- CVE-2026-122301Niskie
Parse Server w wersjach przed 8.6.114 oraz 9.0.0 przed 9.10.6-alpha.6 zwraca wartości pól w odpowiedziach na utworzenie obiektu do wywołujących, którzy nie mają uprawnień odczytu utworzonego obiektu poprzez uprawnienia na poziomie klasy lub ACL obiektu. Atakujący z uprawnieniem do tworzenia może tworzyć obiekty, aby uzyskać wartości ustawione przez triggery Cloud Code, domyślne wartości schematu i domyślne ACL klasy.
- CVE-2026-121965Średnie
Parse Server przed wersją 8.6.113 i 9.0.0 przed 9.10.6-alpha.5 zawiera podatność prototype pollution podczas budowania obiektów dla wyzwalaczy Cloud Code i LiveQuery, gdzie klucz notacji kropkowej, którego pośredni segment rozwiązuje się przez odziedziczony element, zapisuje do wbudowanego obiektu procesu. Klienci z prawem zapisu do obiektu w klasie z wyzwalaczem lub LiveQuery mogą uszkodzić wbudowaną funkcję, powodując awarię niepowiązanych żądań do restartu i odmowę usługi dla wszystkich klientów i hostowanych aplikacji.
- CVE-2026-121415Niskie
Parse Server w wersjach przed 8.6.111 oraz 9.0.0 przed 9.10.6-alpha.3 na MongoDB pomija walidację typu pola dla kluczy w notacji kropkowej o wartości null, co pozwala zapisywać poddokumenty pod polami typu Pointer, Number, String, Date lub Boolean. Każdy klient z prawem zapisu, w tym nieuwierzytelniony gdy dozwolone są publiczne zapisy, może uszkodzić wartości pól, uczynić obiekty nieczytelnymi lub przerwać operacje atomowe na polach liczbowych.
- CVE-2026-121414Średnie
Parse Server przed wersją 8.6.110 oraz 9.0.0 przed 9.10.6-alpha.2 nie zawiera błędu serializacji, gdy aktualizacja obiektu używa klucza notacji kropkowej wskazującego identyfikator obiektu pola wskaźnika w klasie z wyzwalaczem afterSave. Atakujący, w tym nieuwierzytelnieni klienci, gdy obiekty są zapisywalne bez sesji, mogą wysłać taką aktualizację, aby zawiesić proces Node.
- CVE-2026-121413Niskie
Parse Server w wersjach przed 8.6.112 oraz 9.0.0 przed 9.10.6-alpha.4 zawiera obejście autoryzacji w punkcie końcowym aktualizacji sesji, który tworzy nową sesję dla dowolnego ważnego tokenu sesji bez egzekwowania uprawnienia tworzenia klasy _Session. Atakujący posiadający token sesji użytkowna może wysłać już unieważnialny token do /upgradeToRevocableSession, aby uzyskać dodatkowe sesje z nowym terminem ważności, które przetrwają po wylogowaniu oryginalnej sesji.
Oryginalny opis (angielski, źródło NVD)
Parse Server versions <= 8.6.87 and >= 9.0.0 < 9.10.1-alpha.7 contain an authentication bypass in the built-in LDAP authentication adapter. The adapter forwarded the client-supplied password to the directory without verifying that a password had been supplied, and treated any non-error response from the directory as proof of authentication. A zero-length credential turns an LDAP simple bind into the unauthenticated authentication mechanism described in RFC 4513 section 5.1.2, which some directories (including Active Directory in its default configuration) answer with success while mapping the connection to anonymous. As a result, an unauthenticated attacker who knows a directory username can obtain a valid session token for that account, resulting in account takeover. Only deployments that enable the LDAP authentication adapter are affected, and deployments whose directory refuses unauthenticated simple bind (such as a stock OpenLDAP configuration) are not exploitable. The issue is fixed in 8.6.88 and 9.10.1-alpha.7, which require the password to be a non-empty string and reject the request before contacting the directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS