CVE-2026-101042 in Parse Server
Riassunto
di VulDB • 27/09/2026
Parse Server è un server backend open-source. Nelle versioni >= 9.0.0 < 9.10.1-alpha.10 e >= 8.0.2 < 8.6.91, gli adapter di autenticazione basati su codice (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo) verificano il codice di autorizzazione del client con il provider esterno durante la registrazione e l'associazione al provider, ma non quando i dati di autenticazione vengono forniti insieme a nome utente e password sull'endpoint di login. Di conseguenza, un utente autenticato con privilegi ridotti può associare un'identità di provider arbitraria e non verificata al proprio account senza che il provider venga mai contattato, spoofando un'identità esterna verso la logica dell'applicazione che si fida dell'ID del provider collegato. Un attaccante può anche pre-hijack (dirottamento preventivo) degli account: rivendicando l'ID del provider di una vittima che non ha ancora associato quel provider, il successivo accesso legittimo della vittima con tale provider risolve verso l'account dell'attaccante. Sono interessati solo i deployment che configurano uno degli adapter di autenticazione basati su codice colpiti. Le versioni 9.10.1-alpha.10 e 8.6.91 correggono il problema eseguendo la verifica delle credenziali dell'adapter sugli endpoint di login e challenge, rifiutando un'identità del provider già associata a un altro utente. Come soluzione alternativa (workaround), disabilitare gli adapter di autenticazione basati su codice colpiti.
If you want to get best quality of vulnerability data, you may have to visit VulDB.