CVE-2026-101042

Parse Server açık kaynaklı bir arka uç sunucusudur. >= 9.0.0 < 9.10.1-alpha.10 ve >= 8.0.2 < 8.6.91 sürümlerinde; kod tabanlı kimlik doğrulama adaptörleri (GitHub, Google Play Games, Instagram, LINE, LinkedIn, Microsoft, QQ, Spotify, WeChat, Weibo), kayıt sırasında ve sağlayıcı bağlama işleminde istemcinin yetkilendirme kodunu harici sağlayıcı ile doğrular ancak giriş uç noktasında kullanıcı adı ve şifre ile birlikte kimlik doğrulama verileri sağlandığında bu doğrulamayı yapmaz. Sonuç olarak, düşük yetkili kimliği doğrulanmış bir kullanıcı, sağlayıcıyla hiçbir iletişim kurulmadan kendi hesabına rastgele ve doğrulanmamış bir sağlayıcı kimliğini ekleyebilir ve bağlı sağlayıcı kimliğine güvenen uygulama mantığına karşı harici bir kimliği taklit edebilir. Bir saldırgan ayrıca hesapları önceden ele geçirebilir: söz konusu sağlayıcıyı henüz bağlamamış bir kurbanın sağlayıcı kimliğini sahiplenerek, kurbanın daha sonra o sağlayıcı ile gerçekleştirdiği meşru girişi saldırganın hesabıyla eşleşmesini sağlayabilir. Yalnızca etkilenen kod tabanlı kimlik doğrulama adaptörlerinden birini yapılandıran dağıtımlar etkilenir. 9.10.1-alpha.10 ve 8.6.91 sürümleri, adaptörün kimlik bilgisi doğrulamasını giriş ve challenge uç noktalarında çalıştırarak ve başka bir kullanıcıya zaten bağlanmış olan bir sağlayıcı kimliğini reddederek sorunu giderir. Geçici çözüm olarak, etkilenen kod tabanlı kimlik doğrulama adaptörlerini devre dışı bırakın.