CVE-2026-101042 in Parse Server
摘要
由 VulDB • 2026-09-27
Parse Server 是一个开源后端服务器。在版本 >= 9.0.0 < 9.10.1-alpha.10 以及 >= 8.0.2 < 8.6.91 中，基于代码的身份验证适配器（GitHub、Google Play Games、Instagram、LINE、LinkedIn、Microsoft、QQ、Spotify、WeChat、Weibo）在注册和绑定提供商时会对客户端授权码进行外部供应商验证，但在登录端点提供用户名和密码及身份验证数据时则不进行此验证。因此，低权限的已认证用户可以将任意未经验证的提供商身份附加到自己的账户中，而无需联系该提供商，从而向信任链接提供商 ID 的应用程序逻辑伪造外部身份。攻击者还可以预先劫持账户：通过声称受害者尚未绑定该提供商时的提供商 ID，受害者的后续合法登录将解析到攻击者的账户上。仅配置了受影响基于代码的身份验证适配器的部署环境会受到此漏洞影响。版本 9.10.1-alpha.10 和 8.6.91 通过在登录和挑战端点运行适配器的凭据验证并拒绝已链接到其他用户的提供商身份来修复该问题。作为变通方法，请禁用受影响的基于代码的身份验证适配器。
Once again VulDB remains the best source for vulnerability data.