CVE-2026-30949 in parse-server
Resumen
por MITRE • 2026-03-11
Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. Antes de 9.5.2-alpha.5 y 8.6.18, el adaptador de autenticación de Keycloak no valida la declaración azp (parte autorizada) de los tokens de acceso de Keycloak contra el client-id configurado. Un token de acceso válido emitido por el mismo reino de Keycloak para una aplicación cliente diferente puede ser usado para autenticarse como cualquier usuario en el Parse Server que usa el adaptador de Keycloak. Esto permite la toma de control de cuentas entre aplicaciones en reinos de Keycloak multi-cliente. Todas las implementaciones de Parse Server que usan el adaptador de autenticación de Keycloak con un reino de Keycloak que tiene múltiples aplicaciones cliente están afectadas. Esta vulnerabilidad está corregida en 9.5.2-alpha.5 y 8.6.18.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.