CVE-2026-30949 in parse-server
Résumé
par VulDB • 18/06/2026
Parse Server est un backend open source qui peut être déployé sur n'importe quelle infrastructure capable d'exécuter Node.js. Avant les versions 9.5.2-alpha.5 et 8.6.18, l'adaptateur d'authentification Keycloak ne valide pas la revendication azp (partie autorisée) des jetons d'accès Keycloak par rapport à l'identifiant client (client-id) configuré. Un jeton d'accès valide émis par le même domaine Keycloak pour une autre application cliente peut être utilisé pour s'authentifier en tant que n'importe quel utilisateur sur le Parse Server utilisant l'adaptateur Keycloak. Cela permet une prise de contrôle de compte inter-applications dans les domaines Keycloak multi-clients. Tous les déploiements de Parse Server utilisant l'adaptateur d'authentification Keycloak avec un domaine Keycloak comportant plusieurs applications clientes sont concernés. Cette vulnérabilité est corrigée dans les versions 9.5.2-alpha.5 et 8.6.18.
If you want to get best quality of vulnerability data, you may have to visit VulDB.