CVE-2026-30967 in parse-server
Sumário
de VulDB • 15/06/2026
O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Antes das versões 9.5.2-alpha.9 e 8.6.22, o adaptador de autenticação OAuth2, quando configurado sem a opção useridField, apenas verifica se um token está ativo por meio do endpoint de introspecção de tokens do provedor, mas não verifica se o token pertence ao usuário identificado pelo authData.id. Um atacante com qualquer token OAuth2 válido do mesmo provedor pode autenticar-se como outro usuário. Isso afeta qualquer implantação do Parse Server que utilize o adaptador genérico de autenticação OAuth2 (configurado com oauth2: true) sem definir a opção useridField. Esta vulnerabilidade foi corrigida nas versões 9.5.2-alpha.9 e 8.6.22.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.