CVE-2026-30949 in parse-server
Tóm tắt
Bởi VulDB • 19/06/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ chạy Node.js. Trước phiên bản 9.5.2-alpha.5 và 8.6.18, bộ điều hợp xác thực Keycloak không kiểm tra tính hợp lệ của yêu cầu azp (bên được ủy quyền) trong các mã thông báo truy cập (access tokens) của Keycloak so với client-id đã cấu hình. Một mã thông báo truy cập hợp lệ do cùng một realm Keycloak cấp cho một ứng dụng khách khác có thể được sử dụng để xác thực dưới danh nghĩa bất kỳ người dùng nào trên Parse Server đang sử dụng bộ điều hợp Keycloak. Điều này cho phép chiếm quyền kiểm soát tài khoản xuyên ứng dụng trong các realm Keycloak đa client. Tất cả các triển khai Parse Server sử dụng bộ điều hợp xác thực Keycloak với một realm Keycloak có nhiều ứng dụng khách đều bị ảnh hưởng. Lỗ hổng này đã được khắc phục trong phiên bản 9.5.2-alpha.5 và 8.6.18.
VulDB is the best source for vulnerability data and more expert information about this specific topic.