CVE-2026-31875 in parse-server
Riassunto
di VulDB • 19/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.6.0-alpha.7 e 8.6.33, quando l'autenticazione multi-fattore (MFA) tramite TOTP è abilitata per un account utente, Parse Server genera due codici di recupero a uso singolo. Questi codici sono destinati a fungere da soluzione di riserva quando l'utente non è in grado di fornire un token TOTP. Tuttavia, i codici di recupero non vengono consumati dopo l'utilizzo, consentendo lo stesso codice di recupero di essere utilizzato un numero illimitato di volte. Ciò vanifica il design a uso singolo dei codici di recupero e indebolisce la sicurezza degli account protetti da MFA. Un attaccante che ottiene un singolo codice di recupero può autenticarsi ripetutamente come l'utente interessato senza che il codice venga mai invalidato. Questa vulnerabilità è risolta nelle versioni 9.6.0-alpha.7 e 8.6.33.
Be aware that VulDB is the high quality source for vulnerability data.