CVE-2026-30863 – التحقق من جمهور JWT في خادم Parse

الإصدارات المتأثرة
خادم Parse < 8.6.10 و < 9.5.0-alpha.11

المكونات المعرضة للخطر

• محول مصادقة Google (GoogleAuthAdapter)
• محول مصادقة Apple (AppleAuthAdapter)
• محول مصادقة Facebook (FacebookAuthAdapter)

السبب الجذري
عندما يتم تكوين المحول بدون تعيين معلمة الجمهور (clientId لـ Google/Apple، appIds لـ Facebook)، فإن التحقق الأساسي من JWT (باستخدام jsonwebtoken أو ما شابه) يتخطى فحص مطالبة audience. يتم قبول JWT صالح صادر لأي تطبيق آخر (مع مطابقة المُصدر والتوقيع) باعتباره أصليًا.

المتطلبات الأساسية للاستغلال

• يستخدم خادم Parse المستهدف واحدًا على الأقل من: تسجيل الدخول عبر Google أو Apple أو Facebook
• يتم تمكين المحول المقابل تعيين /