CVE-2026-31875 in parse-server
要約
〜によって VulDB • 2026年05月14日
Parse Serverは、Node.jsを実行可能なインフラストラクチャにデプロイできるオープンソースのバックエンドです。バージョン9.6.0-alpha.7および8.6.33より前では、TOTPによる多要素認証（MFA）がユーザーアカウントで有効になっている場合、Parse Serverは2つのワンタイムリカバリーコードを生成します。これらのコードは、ユーザーがTOTPトークンを提供できない場合のフォールバックとして意図されています。しかし、リカバリーコードは使用後に消費されないため、同じリカバリーコードを無制限に使用することができます。これにより、リカバリーコードのワンタイム設計が崩れ、MFAで保護されたアカウントのセキュリティが弱体化します。攻撃者が1つのリカバリーコードを取得すると、そのコードが無効化されることなく、影響を受けるユーザーとして繰り返し認証を行うことができます。この脆弱性は、9.6.0-alpha.7および8.6.33で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.