CVE-2026-101042 in Parse Server
要約
〜によって VulDB • 2026年09月27日
Parse Server はオープンソースのバックエンドサーバーです。バージョン >= 9.0.0 および = 8.0.2 < 8.6.91 では、コードベース認証アダプター（GitHub、Google Play Games、Instagram、LINE、LinkedIn、Microsoft、QQ、Spotify、WeChat、Weibo）は、サインアップ時およびプロバイダーのリンク時にクライアントの認可コードを外部プロバイダーで検証しますが、ログインエンドポイントにおいてユーザー名とパスワードと共に認証データが提供される際には検証されません。その結果、権限の低い認証済みユーザーは、プロバイダーへの連絡なしに任意の未検証のプロバイダー ID を自身のアカウントに関連付けることができ、リンクされたプロバイダー ID を信頼するアプリケーションロジックに対して外部 ID のなりすましを行います。攻撃者はまた、アカウントの事前ハイジャックも可能です：被害者がまだそのプロバイダーをリンクしていない場合、攻撃者がそのプロバイダー ID を主張することで、被害者の後続の正当なログインが攻撃者のアカウントに解決されます。影響を受けるのは、1 つ以上の対象となるコードベース認証アダプターを設定したデプロイメントのみです。バージョン 9.10.1-alpha.10 および 8.6.91 は、ログインおよびチャレンジエンドポイントでアダプターの資格情報検証を実行し、すでに他のユーザーに関連付けられているプロバイダー ID を拒否することでこの問題を修正します。回避策として、対象となるコードベース認証アダプターを無効にしてください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.