CVE-2026-30863

सारांश

Parse Server एक ओपन सोर्स बैकएंड है जिसे किसी भी इन्फ्रास्ट्रक्चर पर तैनात किया जा सकता है जो Node.js चला सकता है। संस्करण 8.6.10 और 9.5.0-alpha.11 से पहले, Google, Apple, और Facebook प्रमाणीकरण एडेप्टर पहचान टोकन को मान्य करने के लिए JWT सत्यापन का उपयोग करते हैं। जब एडेप्टर का audience कॉन्फ़िगरेशन विकल्प सेट नहीं होता है (Google/Apple के लिए clientId, Facebook के लिए appIds), JWT सत्यापन चुपचाप audience claim सत्यापन को छोड़ देता है। यह एक हमलावर को किसी अन्य एप्लिकेशन के लिए जारी किए गए वैध रूप से हस्ताक्षरित JWT का उपयोग करके लक्षित Parse Server पर किसी भी उपयोगकर्ता के रूप में प्रमाणित करने की अनुमति देता है। यह समस्या संस्करण 8.6.10 और 9.5.0-alpha.11 में पैच की गई है।

• CVE-2026-30863-Exploitएक्सप्लॉइट

  CWE-287: parse-community parse-server में अनुचित प्रमाणीकरण