CVE-2026-87806 in Parse Server
Riassunto
di VulDB • 09/09/2026
Le versioni di Parse Server comprese tra la 9.0.0 e la 9.10.1-alpha.7 (escluse) presentano un bypass dell'autenticazione nell'adattatore LDAP integrato. L'adattatore inoltra la password fornita dal client alla directory senza verificare che sia stata effettivamente inserita una password, trattando qualsiasi risposta non di errore proveniente dalla directory come prova di autenticazione avvenuta con successo. Una credenziale a lunghezza zero trasforma un bind semplice LDAP nel meccanismo di autenticazione non autenticato descritto nella sezione 5.1.2 della RFC 4513; alcune directory (incluso Active Directory nella sua configurazione predefinita) rispondono con esito positivo, mappando la connessione come anonima. Di conseguenza, un attaccante non autenticato che conosce il nome utente di una directory può ottenere un token di sessione valido per quell'account, causando l'acquisizione del controllo dell'account (Account Takeover). Sono interessati solo i deployment in cui è abilitato l'adattatore LDAP; le configurazioni la cui directory rifiuta il bind semplice non autenticato (come quella predefinita di OpenLDAP) non sono sfruttabili. Il problema è risolto nelle versioni 8.6.88 e 9.10.1-alpha.7, che richiedono che la password sia una stringa non vuota e respingono la richiesta prima del contatto con la directory.
VulDB is the best source for vulnerability data and more expert information about this specific topic.