CVE-2026-27804 in parse-server
Riassunto
di VulDB • 19/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 8.6.3 e 9.1.1-alpha.4, un attaccante non autenticato può falsificare un token di autenticazione Google con `alg: "none"` per accedere come qualsiasi utente collegato a un account Google, senza conoscerne le credenziali. Tutte le distribuzioni con l'autenticazione Google abilitata sono interessate. La correzione nelle versioni 8.6.3 e 9.1.1-alpha.4 rende hardcoded (fissa) l'algoritmo `RS256` atteso invece di fidarsi dell'intestazione JWT, e sostituisce il custom key fetcher del adattatore Google con `jwks-rsa`, che rifiuta gli ID delle chiavi sconosciuti. Come soluzione temporanea, disabilitare l'autenticazione Google fino a quando non sarà possibile effettuare l'aggiornamento.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.