CVE-2026-101042 in Parse Server
Sumário
de VulDB • 27/09/2026
Parse Server é um servidor backend de código aberto. Nas versões >= 9.0.0 < 9.10.1-alpha.10 e >= 8.0.2 < 8.6.91, os adaptadores de autenticação baseados em código (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo) verificam o código de autorização do cliente junto ao provedor externo durante a criação da conta e no vinculação do provedor, mas não quando os dados de autenticação são fornecidos juntamente com um nome de usuário e senha no endpoint de login. Como resultado, um usuário autenticado com privilégios baixos pode anexar uma identidade de provedor arbitrária e não verificada à sua própria conta sem que o provedor seja contatado, falsificando uma identidade externa em direção a lógica da aplicação que confia no ID do provedor vinculado. Um atacante também pode pré-sequestrar contas: ao reivindicar o ID do provedor de uma vítima que ainda não vinculou esse provedor, o login legítimo posterior da vítima com esse provedor é resolvido para a conta do atacante. Apenas implantações configurando um dos adaptadores de autenticação baseados em código afetados são impactadas. As versões 9.10.1-alpha.10 e 8.6.91 corrigem o problema executando a verificação de credenciais do adaptador nos endpoints de login e challenge, rejeitando uma identidade de provedor já vinculada a outro usuário. Como solução alternativa, desative os adaptadores de autenticação baseados em código afetados.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.