CVE-2026-27804 in parse-server
요약
\~에 의해 VulDB • 2026. 05. 13.
Parse Server는 Node.js를 실행할 수 있는 모든 인프라에 배포할 수 있는 오픈 소스 백엔드입니다. 버전 8.6.3 및 9.1.1-alpha.4 이전 버전에서는 인증되지 않은 공격자가 `alg: "none"`을 사용하여 Google 인증 토큰을 위조하고, 해당 사용자의 자격 증명을 알 수 없어도 Google 계정에 연결된 모든 사용자로 로그인할 수 있습니다. Google 인증이 활성화된 모든 배포 환경이 영향을 받습니다. 버전 8.6.3 및 9.1.1-alpha.4의 수정 사항에서는 JWT 헤더를 신뢰하는 대신 예상되는 `RS256` 알고리즘을 하드코딩하며, Google 어댑터의 사용자 정의 키 가져오기 기능을 `jwks-rsa`로 대체하여 알려지지 않은 키 ID를 거부합니다. 우회 조치로 업그레이드가 가능할 때까지 Google 인증을 비활성화하십시오.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.