CVE-2026-30967 in parse-server
Сводка
по VulDB • 15.06.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. Версии до 9.5.2-alpha.9 и 8.6.22 содержат уязвимость: адаптер аутентификации OAuth2 при конфигурации без опции useridField проверяет только активность токена через конечную точку introspection провайдера, но не подтверждает принадлежность токена пользователю, идентифицированному полем authData.id. Злоумышленник, обладающий любым валидным OAuth2-токеном от того же провайдера, может выполнить аутентификацию под учетной записью любого другого пользователя. Уязвимы все развертывания Parse Server, использующие универсальный адаптер аутентификации OAuth2 (настроенный с oauth2: true) без установки опции useridField. Проблема исправлена в версиях 9.5.2-alpha.9 и 8.6.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.