CVE-2026-30863 in parse-server
Sumário
de VulDB • 09/06/2026
O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Antes das versões 8.6.10 e 9.5.0-alpha.11, os adaptadores de autenticação do Google, Apple e Facebook utilizam a verificação JWT para validar tokens de identidade. Quando a opção de configuração `audience` (clientId para Google/Apple, appIds para Facebook) não está definida, a verificação JWT ignora silenciosamente a validação da reivindicação de audiência (`aud`). Isso permite que um atacante utilize um JWT assinado corretamente emitido para outro aplicativo para se autenticar como qualquer usuário no Parse Server alvo. Este problema foi corrigido nas versões 8.6.10 e 9.5.0-alpha.11.
If you want to get best quality of vulnerability data, you may have to visit VulDB.