JVNDB-2026-008240

Parse PlatformのParse Serverにおける認証に関する脆弱性

Parse ServerはNode.jsを実行できるあらゆるインフラにデプロイ可能なオープンソースのバックエンドです。バージョン9.6.0-alpha.29および8.6.49以前では、ユーザーが空の`authData`オブジェクトを送信することで、資格情報を提供せずにサインアップでき、ユーザー名とパスワードの要件を回避できました。これにより、匿名ユーザーが無効化されている場合でも、適切な資格情報なしで認証済みセッションを作成することが可能でした。9.6.0-alpha.29および8.6.49での修正では、新規ユーザー作成時の資格情報検証のために、空または未処理の`authData`が`authData`が存在しない場合と同様に扱われるようになりました。有効な認証プロバイダーデータが存在しない場合は、ユーザー名とパスワードが必須となります。回避策として、`_User`クラスのCloud Codeの`beforeSave`トリガーを使用し、`authData`が空でユーザー名またはパスワードが提供されていないサインアップを拒否してください。

Parse Platform

• Parse Server 8.6.49 未満
• Parse Server 9.0.0 以上 9.6.0 未満
• Parse Server 9.6.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Empty authData bypasses credential requirement on signup  Advisory  parse-community/parse-server  GitHub

1. 不適切な認証(CWE-287) [その他]
2. 情報不足(CWE-noinfo) [NVD評価]

1. CVE-2026-33042

1. National Vulnerability Database (NVD) : CVE-2026-33042
2. 関連文書 : fix: Empty authData bypasses credential requirement on signup (GHSA-wjqw-r9x4-j59v) by mtrezza  Pull Request #10220  parse-community/parse-server  GitHub
3. 関連文書 : fix: Empty authData bypasses credential requirement on signup (GHSA-wjqw-r9x4-j59v) by mtrezza  Pull Request #10219  parse-community/parse-server  GitHub

• [2026年03月24日]
    掲載