CVE-2026-87806

Nome do Software Vulnerável e Versões Afetadas Parse Server versões anteriores a 8.6.88 Parse Server versões 9.0.0 até 9.10.1-alpha.6

Description Existe uma falha de bypass de autenticação no adaptador de autenticação LDAP integrado. O adaptador encaminha a senha fornecida pelo cliente para o diretório sem verificar se uma senha foi informada e trata qualquer resposta que não seja de erro como prova de autenticação. Uma credencial de comprimento zero transforma um bind simples LDAP em um mecanismo de autenticação não autenticado, o qual alguns diretórios, como o Active Directory em sua configuração padrão, podem aceitar mapeando a conexão como anônima. Como resultado, um invasor não autenticado que conheça um nome de usuário do diretório pode obter um token de sessão válido para essa conta, resultando no sequestro da conta. O problema afeta apenas implantações que habilitam o adaptador de autenticação LDAP e diretórios que não recusam binds simples não autenticados.

Recommendations Atualizar para a versão 8.6.88. Atualizar para a versão 9.10.1-alpha.7. Desativar o adaptador de autenticação LDAP caso não seja necessário.