CVE-2026-30863 – Parse Server JWT ऑडियंस सत्यापन

प्रभावित संस्करण
Parse Server < 8.6.10 और < 9.5.0-alpha.11

कमजोर घटक

• Google प्रमाणीकरण एडाप्टर (GoogleAuthAdapter)
• Apple प्रमाणीकरण एडाप्टर (AppleAuthAdapter)
• Facebook प्रमाणीकरण एडाप्टर (FacebookAuthAdapter)

मूल कारण
जब एडाप्टर को ऑडियंस पैरामीटर (Google/Apple के लिए clientId, Facebook के लिए appIds) सेट किए बिना कॉन्फ़िगर किया जाता है, तो अंतर्निहित JWT सत्यापन (jsonwebtoken या समान का उपयोग करके) audience दावे की जाँच को छोड़ देता है। किसी अन्य एप्लिकेशन के लिए जारी किया गया एक वैध JWT (मेल खाते issuer और हस्ताक्षर के साथ) प्रामाणिक के रूप में स्वीकार किया जाता है।

शोषण के लिए पूर्वापेक्षाएँ

• लक्षित Parse Server Google, Apple, या Facebook लॉगिन में से कम से कम एक का उपयोग करता है
• संबंधित एडाप्टर clientId / appIds सेट किए बिना सक्षम है

संपर्क

• पूछताछ के लिए, कृपया संपर्क करें:[email protected]
• एक्सप्लॉइट :यहाँ डाउनलोड करें