CVE-2026-30863 – Parse Server JWT Audience 検証

影響を受けるバージョン
Parse Server < 8.6.10 および < 9.5.0-alpha.11

脆弱なコンポーネント

• Google 認証アダプター（GoogleAuthAdapter）
• Apple 認証アダプター（AppleAuthAdapter）
• Facebook 認証アダプター（FacebookAuthAdapter）

根本原因
アダプターが audience パラメータ（Google/Apple の場合は clientId、Facebook の場合は appIds）を設定せずに構成されている場合、基盤となる JWT 検証（jsonwebtoken または類似のものを使用）は audience クレームのチェックをスキップします。他の任意のアプリケーション（issuer と署名が一致するもの）に対して発行された有効な JWT が、正当なものとして受け入れられます。

悪用の前提条件

• 対象の Parse Server が Google、Apple、Facebook ログインのうち少なくとも 1 つを使用している
• 対応するアダプターが clientId / を有効化されている