CVE-2026-30949 in parse-server
Riassunto
di VulDB • 18/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.5.2-alpha.5 e 8.6.18, l'adattatore di autenticazione Keycloak non convalida il claim azp (authorized party) dei token di accesso Keycloak rispetto al client-id configurato. Un token di accesso valido emesso dallo stesso realm Keycloak per un'applicazione client diversa può essere utilizzato per autenticarsi come qualsiasi utente su Parse Server che utilizza l'adattatore Keycloak. Ciò consente il takeover dell'account cross-application in realm Keycloak multi-client. Tutte le distribuzioni di Parse Server che utilizzano l'adattatore di autenticazione Keycloak con un realm Keycloak che ha più applicazioni client sono interessate. Questa vulnerabilità è risolta nelle versioni 9.5.2-alpha.5 e 8.6.18.
If you want to get best quality of vulnerability data, you may have to visit VulDB.