CVE-2026-27804 in parse-server
Résumé
par VulDB • 05/06/2026
Parse Server est un backend open source qui peut être déployé sur n'importe quelle infrastructure capable d'exécuter Node.js. Avant les versions 8.6.3 et 9.1.1-alpha.4, un attaquant non authentifié peut falsifier un jeton d'authentification Google avec `alg: "none"` pour se connecter en tant que n'importe quel utilisateur lié à un compte Google, sans connaître ses identifiants. Tous les déploiements avec l'authentification Google activée sont concernés. La correction dans les versions 8.6.3 et 9.1.1-alpha.4 impose en dur l'algorithme `RS256` attendu au lieu de faire confiance à l'en-tête JWT, et remplace le récupérateur de clés personnalisé de l'adaptateur Google par `jwks-rsa`, qui rejette les identifiants de clés inconnus. En attendant, une solution de contournement consiste à désactiver l'authentification Google jusqu'à ce que la mise à jour soit possible.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.