CVE-2026-27804 in parse-server
Zusammenfassung
von VulDB • 05.06.2026
Parse Server ist ein Open-Source-Backend, das in jeder Infrastruktur eingesetzt werden kann, die Node.js ausführen kann. Vor den Versionen 8.6.3 und 9.1.1-alpha.4 kann ein nicht authentifizierter Angreifer ein Google-Authentifizierungstoken mit `alg: "none"` fälschen, um sich als jeder Benutzer einzuloggen, der mit einem Google-Konto verknüpft ist, ohne dessen Anmeldeinformationen zu kennen. Alle Bereitstellungen mit aktivierter Google-Authentifizierung sind betroffen. Die Korrektur in den Versionen 8.6.3 und 9.1.1-alpha.4 hardcodiert den erwarteten `RS256`-Algorithmus anstelle der Vertrauensstellung in den JWT-Header und ersetzt den benutzerdefinierten Schlüssel-Fetcher des Google-Adapters durch `jwks-rsa`, das unbekannte Schlüssel-IDs ablehnt. Als Workaround sollte die Google-Authentifizierung deaktiviert werden, bis ein Upgrade möglich ist.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.