「parse-server」の脆弱性 CVE-2026-116163: 認証の不備

どんな危険があるか

Parse Serverにおいて、AuthAdapterを継承するカスタムアダプターの認証メソッド（validateSetUp, validateLogin, validateUpdate）が呼び出されず、任意の認証データを受け入れるデフォルト処理が使用されてしまう認証バイパスの脆弱性があります。これにより、攻撃者は任意の認証データを提示して、新規登録、既存アカウントへのIDリンク、既存ユーザーとしてのログイン、またはカスタムの追加認証要素の回避が可能となります。結果として、システムへの不正なアクセスやユーザー情報の乗っ取りに繋がる恐れがあります。

今すぐやること

この脆弱性の影響を受けるのは、Parse Serverのバージョン8.6.102未満およびバージョン9.0.0から9.10.5-alpha.2未満です。Parse Serverをバージョン8.6.102または9.10.5-alpha.2以降にアップデートしてください。詳細な情報およびアップデート手順については、ベンダーアドバイザリ（https://github.com/parse-community/parse-server/security/advisories/GHSA-rq3w-5c6f-p7wr）を参照し、速やかに対応してください。