CVE-2026-101042

Parse Server açıq mənbəli backend serverdir. >= 9.0.0 < 9.10.1-alpha.10 və >= 8.0.2 < 8.6.91 versiyalarında kod əsaslı autentifikasiya adapterləri (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo) qeydiyyat zamanı və provayderin bağlanması zamanı müştərinin avtorizasiya kodunu xarici provayder vasitəsilə yoxlayır, lakin giriş nöqtəsində (login endpoint) autentifikasiya məlumatları istifadəçi adı və şifrə ilə birlikdə təqdim edildikdə bunu etmir. Nəticədə, aşağı imtiyazlı autentifikasiya olunmuş istifadəçi, provayderlə heç bir əlaqə saxlamadan, öz hesabına ixtiyari və təsdiqlənməmiş provayder kimliyini əlavə edə bilər və beləliklə, bağlı provayder ID-sinə güvənən tətbiq məntiqini aldadaraq xarici kimliyi saxtalaşdıra bilər. Hücumçu həmçinin hesabları öncədən ələ keçirə bilər: həmin provayderi hələ bağlamamış qurbanın provayder ID-sini mənimsəməklə, qurbanın sonradan həmin provayderlə etdiyi legitim giriş hücumçunun hesabına yönləndiriləcək. Yalnız təsirə məruz qalan kod əsaslı autentifikasiya adapterlərindən birini konfiqurasiya edən sistemlər risk altındadır. 9.10.1-alpha.10 və 8.6.91 versiyaları, adapterin etibarlılıq yoxlamasını giriş və sınaq (challenge) nöqtələrində icra etməklə və artıq başqa istifadəçiyə bağlanmış provayder kimliyini rədd etməklə bu problemi aradan qaldırır. Müvəqqəti həll yolu kimi, təsirə məruz qalan kod əsaslı autentifikasiya adapterlərini deaktiv edin.