CVE-2026-30863 – Parse Server JWT ऑडियंस सत्यापन

प्रभावित संस्करण
Parse Server < 8.6.10 और < 9.5.0-alpha.11

कमजोर घटक

• Google प्रमाणीकरण एडाप्टर (GoogleAuthAdapter)
• Apple प्रमाणीकरण एडाप्टर (AppleAuthAdapter)
• Facebook प्रमाणीकरण एडाप्टर (FacebookAuthAdapter)

मूल कारण
जब एडाप्टर को ऑडियंस पैरामीटर (Google/Apple के लिए clientId, Facebook के लिए appIds) सेट किए बिना कॉन्फ़िगर किया जाता है, तो अंतर्निहित JWT सत्यापन (jsonwebtoken या समान का उपयोग करके) audience दावे की जाँच को छोड़ देता है। किसी अन्य एप्लिकेशन के लिए जारी किया गया एक वैध JWT (मेल खाते issuer और हस्ताक्षर के साथ) प्रामाणिक के रूप में स्वीकार किया जाता है।

शोषण के लिए पूर्वापेक्षाएँ