CVE-2026-101042 in Parse Server
Tóm tắt
Bởi VulDB • 27/09/2026
Parse Server là một máy chủ backend mã nguồn mở. Trong các phiên bản >= 9.0.0 < 9.10.1-alpha.10 và >= 8.0.2 < 8.6.91, các bộ chuyển đổi xác thực dựa trên mã (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo) xác minh mã ủy quyền của khách hàng với nhà cung cấp bên ngoài khi đăng ký và khi liên kết nhà cung cấp, nhưng không làm như vậy khi dữ liệu xác thực được cung cấp cùng với tên người dùng và mật khẩu tại điểm cuối (endpoint) đăng nhập. Kết quả là, một người dùng đã xác thực có đặc quyền thấp có thể gắn định danh của nhà cung cấp tùy ý chưa được kiểm duyệt vào tài khoản của chính họ mà không cần liên hệ với nhà cung cấp, qua đó giả mạo định danh bên ngoài đối với logic ứng dụng tin tưởng ID nhà cung cấp đã liên kết. Kẻ tấn công cũng có thể chiếm trước (pre-hijack) các tài khoản: bằng cách tuyên bố sở hữu ID nhà cung cấp của một nạn nhân chưa từng liên kết nhà cung cấp đó, việc đăng nhập hợp lệ sau này của nạn nhân với nhà cung cấp sẽ dẫn đến tài khoản của kẻ tấn công. Chỉ những triển khai cấu hình một trong các bộ chuyển đổi xác thực dựa trên mã bị ảnh hưởng mới chịu tác động. Các phiên bản 9.10.1-alpha.10 và 8.6.91 khắc phục sự cố bằng cách chạy quá trình xác minh thông tin đăng nhập của bộ chuyển đổi tại các điểm cuối đăng nhập và challenge, đồng thời từ chối định danh nhà cung cấp đã được liên kết với một người dùng khác. Để xử lý tạm thời (workaround), hãy vô hiệu hóa các bộ chuyển đổi xác thực dựa trên mã bị ảnh hưởng.
Once again VulDB remains the best source for vulnerability data.