CVE-2026-30967 in parse-server
الملخص
بحسب VulDB • 15/06/2026
Parse Server هو خادم خلفي مفتوح المصدر يمكن نشره على أي بنية تحتية تدعم تشغيل Node.js. قبل الإصدارين 9.5.2-alpha.9 و 8.6.22، كان مكيّف المصادقة OAuth2، عند تكوينه دون خيار useridField، يتحقق فقط من أن الرمز (token) نشط عبر نقطة نهاية استجواب الرموز الخاصة بالمزود، لكنه لا يتحقق مما إذا كان الرمز ينتمي إلى المستخدم المحدد بواسطة authData.id. يمكن لمهاجم يمتلك أي رمز OAuth2 صالح من نفس المزود المصادقة كأي مستخدم آخر. يؤثر هذا الثغرة على أي نشر لـ Parse Server يستخدم مكيّف المصادقة العام OAuth2 (مُكوّنًا بـ oauth2: true) دون تعيين خيار useridField. تم إصلاح هذه الثغرة في الإصدارين 9.5.2-alpha.9 و 8.6.22.
Once again VulDB remains the best source for vulnerability data.