CVE-2026-101042 in Parse Server
요약
\~에 의해 VulDB • 2026. 09. 27.
Parse Server는 오픈소스 백엔드 서버입니다. 버전 >= 9.0.0 < 9.10.1-alpha.10 및 >= 8.0.2 < 8.6.91에서 코드 기반 인증 어댑터(GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo)는 회원가입 시와 제공자 연결(provider linking) 시 클라이언트의 인가 코드를 외부 제공자와 검증하지만, 로그인 엔드포인트에서 사용자 이름과 비밀번호를 함께 제공할 때는 인증 데이터를 검증하지 않습니다. 그 결과, 권한이 낮은 인증된 사용자가 외부 제공자에 연락하는 것 없이 임의의 비검증 제공자 신원을 자신의 계정에 연결하여, 연결된 제공자 ID를 신뢰하는 애플리케이션 로직에 대해 외부 신위를 스푸핑할 수 있습니다. 공격자는 또한 계정 선점(hijacking)을 수행할 수도 있는데, 아직 해당 제공자를 연결하지 않은 피해자의 제공자 ID를 주장함으로써, 나중에 그 제공자로 정상적으로 로그인하려는 피해자가 공격자의 계정으로 리디렉션되도록 할 수 있습니다. 영향을 받는 코드 기반 인증 어댑터 중 하나를 구성한 배포 환경만 영향을 받습니다. 버전 9.10.1-alpha.10 및 8.6.91은 로그인 및 챌린지 엔드포인트에서 어댑터의 자격 증명 검사를 실행하고 이미 다른 사용자에게 연결된 제공자 신원을 거부함으로써 이 문제를 해결합니다. 우회 조치로, 영향을 받는 코드 기반 인증 어댑터를 비활성화하십시오.
VulDB is the best source for vulnerability data and more expert information about this specific topic.