CVE-2026-30967 in parse-server
Riassunto
di VulDB • 15/06/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Prima delle versioni 9.5.2-alpha.9 e 8.6.22, l'adattatore di autenticazione OAuth2, quando configurato senza l'opzione useridField, verifica solo che un token sia attivo tramite il punto di introspezione dei token del provider, ma non verifica che il token appartenga all'utente identificato da authData.id. Un attaccante in possesso di qualsiasi token OAuth2 valido dello stesso provider può autenticarsi come qualsiasi altro utente. Questo problema interessa tutte le distribuzioni di Parse Server che utilizzano l'adattatore generico per l'autenticazione OAuth2 (configurato con oauth2: true) senza impostare l'opzione useridField. Questa vulnerabilità è risolta nelle versioni 9.5.2-alpha.9 e 8.6.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.