- Yama var
- Son 7 gün
- CWE-287
CVE-2026-116163
Parse Server'da özel AuthAdapter alt sınıflarında kimlik doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
Parse Server 8.6.102 sürümünden önceki sürümlerde ve 9.0.0 ile 9.10.5-alpha.2 arasındaki sürümlerde bir kimlik doğrulama atlatma sorunu bulunmaktadır. AuthAdapter sınıfını alt sınıflayan özel adaptörlerin validateSetUp, validateLogin ve validateUpdate metotları hiçbir zaman çağrılmaz; bunun yerine, herhangi bir authData değerini kabul eden devralınmış varsayılan bir davranış kullanılır. Saldırganlar, rastgele authData değerleri göndererek kayıt olabilir, kimlikleri bağlayabilir, mevcut kullanıcılar olarak oturum açabilir veya özel ek kimlik doğrulama faktörlerini atlayabilir.
Kaynaktaki açıklama (İngilizce)
Parse Server before 8.6.102 and 9.0.0 before 9.10.5-alpha.2 contains an authentication bypass because the validateSetUp, validateLogin, and validateUpdate methods of custom adapters subclassing AuthAdapter are never called, and an inherited default that accepts any authData is used instead. Attackers can supply arbitrary authData to sign up, link identities, log in as existing users, or skip custom additional authentication factors.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| parse-community parse-server | ≥ 9.0.0, < 9.10.5-alpha.2 | 9.10.5-alpha.2 |
| 9.10.5-alpha.2 Etkilenmiyor | – | |
| < 8.6.102 | 8.6.102 | |
| 8.6.102 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.