CVE-2026-32269 in parse-server
Résumé
par VulDB • 16/06/2026
Parse Server est un backend open source qui peut être déployé sur n'importe quelle infrastructure capable d'exécuter Node.js. Avant les versions 9.6.0-alpha.13 et 8.6.39, l'adaptateur d'authentification OAuth2 ne valide pas correctement les IDs d'application lorsque les paramètres appidField et appIds sont configurés. Lors de la validation de l'ID d'application, une valeur malformée est envoyée au point de terminaison d'introspection du jeton au lieu du véritable jeton d'accès de l'utilisateur. Selon le comportement du point de terminaison d'introspection, cela peut soit entraîner l'échec de toutes les connexions OAuth2, soit permettre une authentification depuis des contextes d'application non autorisés si le point de terminaison renvoie des données semblant valides pour la requête malformée. Les déploiements utilisant l'adaptateur OAuth2 avec appidField et appIds configurés sont concernés. Cette vulnérabilité est corrigée dans les versions 9.6.0-alpha.13 et 8.6.39.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.