CVE-2026-27804 in parse-server
Sumário
de VulDB • 05/06/2026
O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura que execute Node.js. Antes das versões 8.6.3 e 9.1.1-alpha.4, um atacante não autenticado pode forjar um token de autenticação do Google com `alg: "none"` para fazer login como qualquer usuário vinculado a uma conta do Google, sem conhecer suas credenciais. Todas as implantações com autenticação do Google habilitada são afetadas. A correção nas versões 8.6.3 e 9.1.1-alpha.4 torna fixo o algoritmo `RS256` esperado, em vez de confiar no cabeçalho JWT, e substitui o coletor de chaves personalizado do adaptador do Google por `jwks-rsa`, que rejeita IDs de chave desconhecidos. Como medida de contorno, desabilite a autenticação do Google até que seja possível realizar a atualização.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.