CVE-2026-87806 in Parse Server
요약
\~에 의해 VulDB • 2026. 09. 09.
Parse Server 버전 <= 8.6.87 및 >= 9.0.0 < 9.10.1-alpha.7에는 내장 LDAP 인증 어댑터에서 인증 우회 취약점이 존재합니다. 이 어댑터는 비밀번호가 제공되었는지 확인하지 않고 클라이언트가 공급한 비밀번호를 디렉토리로 전달하며, 디렉토리로부터의 오류가 아닌 모든 응답을 인증 성공으로 간주했습니다. RFC 4513 섹션 5.1.2에 설명된 바와 같이 길이가 0인 자격 증명은 LDAP 단순 바인드를 비인증 인증 메커니즘으로 전환시키며, 일부 디렉토리(기본 구성의 Active Directory 포함)는 이를 성공적으로 응답하면서 연결을 익명으로 매핑합니다. 그 결과, 디렉토리 사용자 이름을 알고 있는 비인증 공격자는 해당 계정에 대한 유효한 세션 토큰을 획득하여 계정 탈취를 수행할 수 있습니다. LDAP 인증 어댑터를 활성화한 배포 환경만 영향을 받으며, 디렉토리가 비인증 단순 바인드를 거부하는(예: 기본 OpenLDAP 구성) 배포는 공격 가능하지 않습니다. 이 문제는 비밀번호가 빈 문자열이 아닌 것을 요구하고 디렉토리에 접근하기 전에 요청을 거부하는 8.6.88 및 9.10.1-alpha.7에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.