CVE-2026-30863 – Parse Server JWT 受众验证

受影响版本
Parse Server < 8.6.10 和 < 9.5.0-alpha.11

受影响组件

• Google 认证适配器（GoogleAuthAdapter）
• Apple 认证适配器（AppleAuthAdapter）
• Facebook 认证适配器（FacebookAuthAdapter）

根本原因
当适配器配置为未设置受众参数（Google/Apple 的 clientId，Facebook 的 appIds）时，底层 JWT 验证（使用 jsonwebtoken 或类似工具）会跳过 audience 声明检查。为任何其他应用程序签发的有效 JWT（具有匹配的签发者和签名）都会被接受为合法令牌。

利用前提条件

• 目标 Parse Server 至少使用以下登录方式之一：Google、Apple 或 Facebook
• 相应的适配器已启用，但未设置 clientId / appIds

联系方式

• 如有疑问，请联系：[email protected]
• 漏洞利用：在此下载