CVE-2026-87806
Təsvir
Parse Server versiyaları <= 8.6.87 və >= 9.0.0 < 9.10.1-alpha.7 daxili LDAP autentifikasiya adapterində autentifikasiyadan yan keçmə boşluğu ehtiva edir. Adapter, şifrənin təmin edildiyini yoxlamadan müştəri tərəfindən göndərilən şifrəni kataloga ötürürdü və katalogdan gələn hər hansı xəta olmayan cavabı autentifikasiyanın sübutu kimi qəbul edirdi. Sıfır uzunluqlu etibarlılıq məlumatı, LDAP sadə bağlama prosesini (simple bind) RFC 4513 bölmə 5.1.2-də təsvir olunan autentifikasiyasız autentifikasiya mexanizminə çevirir ki, bəzi kataloglar (o cümlədən standart konfiqurasiyadakı Active Directory) bağlantını anonim kimi xəritələyərək buna uğurlu cavab verir. Nəticədə, kataloq istifadəçi adını bilən autentifikasiya olunmamış hücumçu həmin hesab üçün etibarlı sessiya tokeni əldə edə bilər ki, bu da hesabın ələ keçirilməsi ilə nəticələnir. Yalnız LDAP autentifikasiya adapteri aktiv edilmiş qurulmalar təsirlənir və kataloqunun autentifikasiyasız sadə bağlama sorğularını rədd etdiyi qurulmalar (məsələn, standart OpenLDAP konfiqurasiyası) istismar edilə bilməz. Problem 8.6.88 və 9.10.1-alpha.7 versiyalarında düzəldilib; bu versiyalar şifrənin boş olmayan sətir olmasını tələb edir və kataloqla əlaqə saxlamazdan əvvəl sorğunu rədd edir.
Necə düzəltmək olar
- parse-community parse-server9.10.1-alpha.7, 8.6.88 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parse-community parse-server | 9.0.0 ≤ v < 9.10.1-alpha.7, v < 8.6.88 | 9.10.1-alpha.7, 8.6.88 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.