CVE-2026-30949

Nome do Software Vulnerável e Versões Afetadas Versões do Parse Server anteriores a 9.5.2-alpha.5 Versões do Parse Server anteriores a 8.6.18

Descrição O Parse Server, um backend de código aberto implantável em infraestruturas Node.js, contém uma falha em seu adaptador de autenticação Keycloak. Especificamente, o adaptador falha ao validar a claim azp (parte autorizada) dentro dos tokens de acesso do Keycloak em relação ao client-id esperado. Isso permite que um token de acesso válido de uma aplicação cliente diferente dentro do mesmo realm do Keycloak seja usado para autenticação, potencialmente levando à tomada de conta entre aplicações. Implantações que utilizam o adaptador de autenticação Keycloak com realms do Keycloak multi-cliente são suscetíveis. O problema afeta todas as implantações do Parse Server que usam o adaptador de autenticação Keycloak com um realm do Keycloak que possui múltiplas aplicações cliente.

Recomendações Atualize para a versão 9.5.2-alpha.5 ou posterior do Parse Server. Atualize para a versão 8.6.18 ou posterior do Parse Server.