CVE-2026-27804 in parse-server
الملخص
بحسب VulDB • 06/06/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارات 8.6.3 و9.1.1-alpha.4، يمكن لمهاجم غير مصادق عليه تزوير رمز مصادقة Google باستخدام `alg: "none"` لتسجيل الدخول بصفتة أي مستخدم مرتبط بحساب Google دون معرفة بيانات الاعتماد الخاصة به. تتأثر جميع عمليات النشر التي تم فيها تفعيل المصادقة عبر Google. يعالج الإصلاح المتوفر في الإصدارات 8.6.3 و9.1.1-alpha.4 المشكلة من خلال تثبيت خوارزمية `RS256` المتوقعة بشكل ثابت بدلاً من الوثوق برأس JWT، ويستبدل مُجلب المفاتيح المخصص لمُكيّف Google بـ `jwks-rsa` الذي يرفض معرفات المفاتيح غير المعروفة. كحل مؤقت، قم بتعطيل مصادقة Google حتى يصبح الترقية ممكنة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.