PT-2026-24458 · Unknown · Parse Server

Theinfosecguy

·

Publicado

2026-03-10

·

Atualizado

2026-03-12

·

CVE-2026-30967

CVSS v3.1

8.8

Alta

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas Versões do Parse Server anteriores a 9.5.2-alpha.9 Versões do Parse Server anteriores a 8.6.22
Descrição O Parse Server, um backend de código aberto que pode ser implantado em infraestruturas Node.js, contém uma falha em seu adaptador de autenticação OAuth2. Quando configurado sem a opção useridField, o adaptador verifica a atividade do token por meio do endpoint de introspecção de token do provedor, mas não confirma a associação do token com o usuário identificado por authData.id. Isso permite que um atacante que possua qualquer token OAuth2 válido do mesmo provedor se autentique como qualquer outro usuário. O problema afeta implantações do Parse Server que utilizam o adaptador genérico de autenticação OAuth2 (configurado com oauth2: true) sem definir a opção useridField.
Recomendações Atualize para a versão 9.5.2-alpha.9 do Parse Server ou posterior. Atualize para a versão 8.6.22 do Parse Server ou posterior.

Exploit

Correção

Improper Authentication

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

BIT-PARSE-2026-30967
CVE-2026-30967
GHSA-FR88-W35C-R596

Produtos afetados

Parse Server