Parse Server: Authentifizierungsumgehung über benutzerdefinierte AuthAdapter-Unterklassen
Zusammenfassung
Parse Server, ein Node.js-Backend, ruft die Validierungsmethoden benutzerdefinierter Authentifizierungsadapter, die von AuthAdapter erben, nicht auf. Stattdessen wird ein geerbter Standardwert verwendet, der beliebige authData akzeptiert. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann sich dadurch registrieren, Identitäten verknüpfen, sich als bestehende Benutzer anmelden oder zusätzliche Authentifizierungsfaktoren umgehen. Nur Installationen mit einem benutzerdefinierten AuthAdapter-Unterklasse sind betroffen; integrierte Adapter und Adapter als einfache Objekte nicht.
Betroffen
- parse-server 9.0.0 bis (ausschliesslich) 9.10.5-alpha.2
- parse-server vor 8.6.102
- Nur Installationen mit einem benutzerdefinierten Authentifizierungsadapter, der von AuthAdapter erbt
Behoben in
- parse-server 8.6.102 (8.x-Linie)
- parse-server 9.10.5-alpha.2 (9.x-Linie)
- Hinweis: OSV führt die 9.x-Korrektur als 9.10.5 ohne Alpha-Suffix; die genaue Version ist in der Herstellerwarnung zu bestätigen.
Umgehung
- Sämtliche Validierung in einer überschriebenen Methode validateAuthData der Unterklasse implementieren, die nicht vom eigenen Zustand der Adapterinstanz abhängt, oder
- den benutzerdefinierten Adapter als einfaches Objekt mit den Validierungsmethoden definieren statt als Unterklasse von AuthAdapter
- Hinweis: Dies sind keine vom Hersteller empfohlenen Massnahmen; die eigentliche Behebung ist das Aktualisieren.
Ausnutzung
- CVSS 4.0 Basisscore 9.1 (Angriff über Netzwerk, keine Berechtigungen, keine Benutzerinteraktion)
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- Kein öffentlicher Proof-of-Concept und keine bekannte Ausnutzung in den geprüften Quellen gefunden; nicht gegen den CISA-KEV-Katalog bestätigt
Unsere Empfehlung
- Alle Parse-Server-Instanzen inventarisieren, einschliesslich npm-Lockfiles und Container-Images, und Versionen unter 8.6.102 bzw. 9.x unter 9.10.5-alpha.2 prüfen
- Prüfen, ob ein benutzerdefinierter Adapter von AuthAdapter erbt; falls ja, die Korrektur priorisieren
- Nach dem Patch Konten prüfen, die über benutzerdefinierte Authentifizierung erstellt oder verknüpft wurden, und auf unerwartete Einträge achten
- NVD und CISA KEV in den kommenden Tagen erneut prüfen, da der NVD-Status noch Awaiting Analysis war
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-rq3w-5c6f-p7wr github.com
- VulnCheck Advisory www.vulncheck.com
- OSV BIT-parse-2026-116163 osv.dev
- Fix PR #10773 (9.x) github.com
- Fix PR #10774 (8.x) github.com
- Release 8.6.102 github.com
- VulDB CVE-2026-116163 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.