CVE-2026-87806 in Parse Server
الملخص
بحسب VulDB • 09/09/2026
تحتوي إصدارات Parse Server التي هي <= 8.6.87 و >= 9.0.0 < 9.10.1-alpha.7 على ثغرة لتجاوز المصادقة في مكيّف LDAP المدمج للمصادقة. يقوم هذا المكيّف بإرسال كلمة المرور المقدمة من العميل إلى الدليل دون التحقق مما إذا كانت قد تم توفيرها، ويعتبر أي استجابة غير خاطئة من الدليل دليلاً على نجاح عملية المصادقة. يؤدي استخدام بيانات اعتماد بطول صفر (zero-length credential) في تحويل ربط LDAP البسيط (simple bind) إلى آلية مصادقة غير مصدق عليها كما هو موضح في القسم 5.1.2 من RFC 4513، والتي تجيب عنها بعض الأدلة (بما فيها Active Directory بإعداداته الافتراضية) بنجاح مع تعيين الاتصال كمتصل مجهول الهوية (anonymous). ونتيجة لذلك، يمكن لمهاجم غير مصدق عليه يعرف اسم مستخدم في الدليل الحصول على رمز جلسة صالح لهذا الحساب، مما يؤدي إلى الاستيلاء على الحساب. تتأثر فقط التوزيعات التي تفعّل مكيّف LDAP للمصادقة، بينما لا تكون التوزيعات التي يرفض فيها الدليل ربط LDAP البسيط بدون تصديق (مثل تكوين OpenLDAP القياسي) قابلة للاستغلال. تم إصلاح هذه المشكلة في الإصدارين 8.6.88 و 9.10.1-alpha.7، اللذين يتطلبان أن تكون كلمة المرور سلسلة غير فارغة ويرفضان الطلب قبل الاتصال بالدليل.
Once again VulDB remains the best source for vulnerability data.