CVE-2026-87806 in Parse Server
Resumen
por VulDB • 2026-09-09
Las versiones de Parse Server = 9.0.0 < 9.10.1-alpha.7 contienen una omisión de autenticación en el adaptador de autenticación LDAP integrado. El adaptador reenviaba la contraseña proporcionada por el cliente al directorio sin verificar que se hubiera suministrado una contraseña, y trataba cualquier respuesta distinta a un error del directorio como prueba de autenticación. Una credencial de longitud cero convierte un enlace simple (simple bind) de LDAP en el mecanismo de autenticación no autenticado descrito en la sección 5.1.2 de RFC 4513, al que algunos directorios (incluido Active Directory en su configuración predeterminada) responden con éxito mientras mapean la conexión como anónima. Como resultado, un atacante no autenticado que conozca el nombre de usuario del directorio puede obtener un token de sesión válido para esa cuenta, lo que provoca la toma de control de la cuenta (account takeover). Solo se ven afectados los despliegues que habilitan el adaptador de autenticación LDAP, y aquellos cuyo directorio rechaza enlaces simples no autenticados (como una configuración estándar de OpenLDAP) no son explotables. El problema está corregido en las versiones 8.6.88 y 9.10.1-alpha.7, que requieren que la contraseña sea una cadena no vacía y rechazan la solicitud antes de contactar con el directorio.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.