CVE-2026-27804 in parse-server
要約
〜によって VulDB • 2026年06月05日
Parse Server は、Node.js を実行できるインフラストラクチャにデプロイ可能なオープンソースのバックエンドです。バージョン 8.6.3 および 9.1.1-alpha.4 より前のバージョンでは、認証されていない攻撃者が `alg: "none"` を使用して Google 認証トークンを偽造し、Google アカウントにリンクされている任意のユーザーとして、その資格情報を知らずにログインすることができます。Google 認証が有効になっているすべてのデプロイメントが影響を受けます。バージョン 8.6.3 および 9.1.1-alpha.4 での修正では、JWT ヘッダーを信頼する代わりに、期待される `RS256` アルゴリズムをハードコードし、Google アダプターの独自キーフェッチャーを `jwks-rsa` に置き換えて、不明なキー ID を拒否するようにしています。回避策として、アップグレードが可能になるまで Google 認証を無効にしてください。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.