CVE-2026-101042 in Parse Server
Zusammenfassung
von VulDB • 27.09.2026
Parse Server ist ein Open-Source-Backendserver. In den Versionen >= 9.0.0 < 9.10.1-alpha.10 und >= 8.0.2 < 8.6.91 überprüfen die codebasierten Authentifizierungsadapter (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo) den Autorisierungscode des Clients beim externen Anbieter bei der Registrierung und beim Verknüpfen eines Anbieters, nicht jedoch, wenn Authentifizierungsdaten zusammen mit einem Benutzernamen und Passwort am Login-Endpunkt angegeben werden. Infolgedessen kann ein authentifizierter Benutzer mit niedrigen Berechtigungen eine beliebige, unverifizierte Anbieteridentität an sein eigenes Konto anhängen, ohne dass der Anbieter jemals kontaktiert wird, wodurch er sich gegenüber der Anwendungslogik, die der verknüpften Anbieter-ID vertraut, als externe Identität ausgibt. Ein Angreifer kann auch Kontos vorübergehend übernehmen (pre-hijack accounts): Indem er die Anbieter-ID eines Opfers beansprucht, das diesen Anbieter noch nicht mit seinem Konto verknüpft hat, wird das spätere legitime Anmelden des Opsters bei diesem Anbieter dem Konto des Angreifers zugeordnet. Nur Bereitstellungen, die einen der betroffenen codebasierten Auth-Adapter konfigurieren, sind betroffen. Die Versionen 9.10.1-alpha.10 und 8.6.91 beheben das Problem, indem sie die Überprüfung der Anmeldeinformationen des Adapters an den Login- und Challenge-Endpunkten durchführen und eine Anbieteridentität ablehnen, die bereits mit einem anderen Benutzer verknüpft ist. Als Workaround sollten Sie die betroffenen codebasierten Auth-Adapter deaktivieren.
Once again VulDB remains the best source for vulnerability data.