CVE-2026-87806 in Parse Server
Sumário
de VulDB • 09/09/2026
As versões do Parse Server <= 8.6.87 e >= 9.0.0 < 9.10.1-alpha.7 contêm uma falha de bypass de autenticação no adaptador de autenticação LDAP integrado. O adaptador encaminhou a senha fornecida pelo cliente para o diretório sem verificar se uma senha havia sido informada, e tratou qualquer resposta que não fosse um erro do diretório como prova de autenticação. Uma credencial com comprimento zero transforma o bind simples LDAP no mecanismo de autenticação não autenticado descrito na seção 5.1.2 da RFC 4513, ao qual alguns diretórios (incluindo o Active Directory em sua configuração padrão) respondem com sucesso, mapeando a conexão para anônima. Como resultado, um atacante não autenticado que conhece um nome de usuário do diretório pode obter um token de sessão válido para essa conta, resultando na tomada da conta (account takeover). Apenas implantações que habilitam o adaptador de autenticação LDAP são afetadas, e as implantações cujo diretório recusa bind simples não autenticado (como uma configuração padrão do OpenLDAP) não são exploráveis. O problema foi corrigido nas versões 8.6.88 e 9.10.1-alpha.7, que exigem que a senha seja uma string não vazia e rejeitam a solicitação antes de entrar em contato com o diretório.
Once again VulDB remains the best source for vulnerability data.