CVE-2026-87806 in Parse Server
Zusammenfassung
von VulDB • 09.09.2026
Parse Server-Versionen <= 8.6.87 und >= 9.0.0 < 9.10.1-alpha.7 enthalten eine Authentifizierungsumgehung im integrierten LDAP-Authentifizierungsadapter. Der Adapter leitete das vom Client bereitgestellte Passwort an das Verzeichnis weiter, ohne zu überprüfen, ob ein Passwort angegeben wurde, und behandelte jede Nicht-Fehler-Antwort des Verzeichnisses als Beweis für die Authentifizierung. Eine Anmeldeinformation mit einer Länge von Null verwandelt einen LDAP-Simple-Bind in den in Abschnitt 5.1.2 von RFC 4513 beschriebenen Mechanismus zur nicht authentifizierten Anmeldung, auf den einige Verzeichnisse (einschließlich Active Directory in der Standardkonfiguration) mit Erfolg antworten und die Verbindung dabei als anonym abbilden. Infolgedessen kann ein nicht authentifizierter Angreifer, der einen Benutzernamen des Verzeichnisses kennt, ein gültiges Sitzungstoken für dieses Konto erhalten, was zu einer Übernahme des Kontos führt. Nur Bereitstellungen, bei denen der LDAP-Authentifizierungsadapter aktiviert ist, sind betroffen; Bereitstellungen, deren Verzeichnis unauthentifizierte Simple-Binds ablehnt (wie eine Standard-OpenLDAP-Konfiguration), sind nicht ausnutzbar. Das Problem wurde in den Versionen 8.6.88 und 9.10.1-alpha.7 behoben, die verlangen, dass das Passwort ein Nicht-Leerstring ist, und die Anfrage ablehnen, bevor eine Verbindung zum Verzeichnis hergestellt wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.