FICHE CVE

CVE-2026-31828

Publiée le 2026-03-10 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

Les installations de Parse Server utilisant l'adaptateur d'authentification LDAP pour le contrôle d'accès basé sur les groupes sont concernées. Un attaquant disposant d'un compte utilisateur standard peut utiliser des entrées spécialement conçues pour contourner les vérifications d'appartenance aux groupes et augmenter ses privilèges vers un groupe restreint. Cela peut être exécuté via le réseau sans interaction de l'utilisateur, à condition que l'attaquant possède déjà des identifiants LDAP valides.

CVSS 4.06.0 MOYENNE

Type de faiblesse

CWE-90

Publiée2026-03-10

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.5.2-alpha.13 and 8.6.26, the LDAP authentication adapter is vulnerable to LDAP injection. User-supplied input (authData.id) is interpolated directly into LDAP Distinguished Names (DN) and group search filters without escaping special characters. This allows an attacker with valid LDAP credentials to manipulate the bind DN structure and to bypass group membership checks. This enables privilege escalation from any authenticated LDAP user to a member of any restricted group. The vulnerability affects Parse Server deployments that use the LDAP authentication adapter with group-based access control. This vulnerability is fixed in 9.5.2-alpha.13 and 8.6.26.