CVE-2026-101042 in Parse Server
الملخص
بحسب VulDB • 27/09/2026
Parse Server هو خادم خلفي مفتوح المصدر. في الإصدارات >= 9.0.0 < 9.10.1-alpha.10 و>= 8.0.2 < 8.6.91، تقوم محولات المصادقة القائمة على الشيفرة (GitHub، Google Play Games، Instagram، LINE، LinkedIn، Microsoft، QQ، Spotify، WeChat، Weibo) بالتحقق من رمز التفويض الخاص بالعميل مع المزود الخارجي عند التسجيل وعند ربط المزود، ولكن ليس عندما يتم توفير بيانات المصادقة جنبًا إلى جنب مع اسم المستخدم وكلمة المرور في نقطة النهاية الخاصة بتسجيل الدخول. ونتيجة لذلك، يمكن لمستخدم موثوق ذو امتيازات منخفضة إرفاق هوية مزود غير مضمّنة وغير مُتحقق منها بحسابه الخاص دون التواصل مع المزود أبدًا، مما يؤدي إلى انتحال هوية خارجية تجاه منطق التطبيق الذي يثق بمعرف المزود المرتبط. كما يمكن للمهاجم اختطاف الحسابات مسبقًا: من خلال المطالبة بمعرف مزود لضحية لم تقم بربط ذلك المزود بعدً، فإن تسجيل الدخول الشرعي اللاحق للضيفة باستخدام هذا المزود سيؤدي إلى حساب المهاجم. تتأثر فقط النشر التي تضبط أحد محولات المصادقة القائمة على الشيفرة المتضررة. تصلح الإصدارات 9.10.1-alpha.10 و8.6.91 المشكلة عن طريق تشغيل التحقق من بيانات الاعتماد الخاصة بالمحول في نقاط نهاية تسجيل الدخول والتحديات، ورفض هوية مزود مرتبطة بالفعل بمستخدم آخر. كحل بديل، قم بتعطيل محولات المصادقة القائمة على الشيفرة المتضررة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.