CVE-2026-87806

Parse Server versiyonları <= 8.6.87 ve >= 9.0.0 < 9.10.1-alpha.7, yerleşik LDAP kimlik doğrulama adaptöründe bir kimlik doğrulama atlatma açığı içermektedir. Adaptör, bir şifrenin sağlanıp sağlanmadığını doğrulamadan istemci tarafından sağlanan şifreyi dizine iletmiş ve dizinden gelen hata dışındaki tüm yanıtları kimlik doğrulamanın kanıtı olarak kabul etmiştir. Sıfır uzunluklu bir kimlik bilgisi, LDAP basit bağlamayı (simple bind), bazı dizinlerin (varsayılan yapılandırmasındaki Active Directory dahil) bağlantıyı anonim olarak eşleştirirken başarıyla yanıtladığı RFC 4513 bölüm 5.1.2'de açıklanan kimlik doğrulanmamış kimlik doğrulama mekanizmasına dönüştürür. Sonuç olarak, bir dizin kullanıcı adını bilen kimlik doğrulanmamış bir saldırgan, söz konusu hesap için geçerli bir oturum belirteci elde ederek hesabın ele geçirilmesine neden olabilir. Yalnızca LDAP kimlik doğrulama adaptörünü etkinleştiren dağıtımlar etkilenmektedir ve dizini kimlik doğrulanmamış basit bağlamayı reddeden dağıtımlar (standart bir OpenLDAP yapılandırması gibi) istismar edilemez. Sorun, şifrenin boş olmayan bir dize olmasını gerektiren ve dizinle iletişime geçmeden önce isteği reddeden 8.6.88 ve 9.10.1-alpha.7 sürümlerinde düzeltilmiştir.