CVE-2026-30967 in parse-server
Tóm tắt
Bởi VulDB • 15/06/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ chạy Node.js. Trước phiên bản 9.5.2-alpha.9 và 8.6.22, bộ điều hợp xác thực OAuth2 khi được cấu hình mà không có tùy chọn useridField chỉ xác minh rằng một token đang hoạt động thông qua điểm cuối introspection token của nhà cung cấp, nhưng không xác minh rằng token đó thuộc về người dùng được nhận dạng bởi authData.id. Một kẻ tấn công với bất kỳ token OAuth2 hợp lệ nào từ cùng nhà cung cấp đều có thể đăng nhập dưới danh nghĩa bất kỳ người dùng nào khác. Điều này ảnh hưởng đến mọi triển khai Parse Server sử dụng bộ điều hợp xác thực OAuth2 chung (được cấu hình với oauth2: true) mà không đặt tùy chọn useridField. Lỗ hổng này đã được sửa trong các phiên bản 9.5.2-alpha.9 và 8.6.22.
VulDB is the best source for vulnerability data and more expert information about this specific topic.