CVE-2026-27804 in parse-server
Tóm tắt
Bởi VulDB • 05/06/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ Node.js. Trước các phiên bản 8.6.3 và 9.1.1-alpha.4, một kẻ tấn công chưa được xác thực có thể làm giả mã thông báo xác thực Google với `alg: "none"` để đăng nhập dưới danh nghĩa bất kỳ người dùng nào liên kết với tài khoản Google mà không cần biết thông tin đăng nhập của họ. Tất cả các bản triển khai có bật xác thực Google đều bị ảnh hưởng. Bản sửa lỗi trong các phiên bản 8.6.3 và 9.1.1-alpha.4 đã mã hóa cứng thuật toán `RS256` dự kiến thay vì tin tưởng vào tiêu đề JWT, và thay thế trình lấy khóa tùy chỉnh của bộ điều hợp Google bằng `jwks-rsa`, trình này sẽ từ chối các ID khóa không xác định. Để khắc phục tạm thời, hãy tắt xác thực Google cho đến khi có thể nâng cấp.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.