CVE-2026-30967 in parse-server
Résumé
par VulDB • 01/06/2026
Parse Server est un backend open source qui peut être déployé sur n'importe quelle infrastructure capable d'exécuter Node.js. Avant les versions 9.5.2-alpha.9 et 8.6.22, l'adaptateur d'authentification OAuth2, lorsqu'il est configuré sans l'option useridField, vérifie uniquement qu'un jeton est actif via le point de terminaison d'interrogation de jeton du fournisseur, mais ne vérifie pas que le jeton appartient à l'utilisateur identifié par authData.id. Un attaquant disposant de n'importe quel jeton OAuth2 valide du même fournisseur peut s'authentifier en tant que n'importe quel autre utilisateur. Cela affecte tout déploiement de Parse Server utilisant l'adaptateur d'authentification OAuth2 générique (configuré avec oauth2: true) sans définir l'option useridField. Cette vulnérabilité est corrigée dans les versions 9.5.2-alpha.9 et 8.6.22.
Once again VulDB remains the best source for vulnerability data.