CVE-2026-30967 in parse-server
要約
〜によって VulDB • 2026年06月01日
Parse Serverは、Node.jsを実行できる任意のインフラストラクチャにデプロイできるオープンソースのバックエンドです。9.5.2-alpha.9 および 8.6.22 より前のバージョンでは、OAuth2認証アダプタは、useridFieldオプションなしで構成されている場合、トークンがプロバイダのトークンイントロスペクションエンドポイントを通じてアクティブであることを確認するのみで、authData.idで識別されるユーザーにトークンが属していることを検証しません。同じプロバイダから取得した有効なOAuth2トークンを所持する攻撃者は、他の任意のユーザーとして認証できます。この脆弱性は、generic OAuth2認証アダプタ（oauth2: trueで構成）を使用し、useridFieldオプションを設定せずにParse Serverをデプロイしているすべての環境に影響します。この脆弱性は、9.5.2-alpha.9 および 8.6.22 で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.