Parse Server: Evitación de la validación de la audiencia JWT en los adaptadores de autenticación de Google, Apple y Facebook

El impacto de esta vulnerabilidad es significativo. Un atacante puede explotarla para obtener acceso no autorizado a cuentas de usuario en Parse Server. Al omitir la validación de la audiencia (audience claim) en los tokens JWT, un atacante puede reutilizar tokens válidos emitidos para otras aplicaciones, esencialmente 'suplantando' la identidad de cualquier usuario. Esto podría resultar en robo de datos, modificación de información del usuario, o incluso control total sobre la aplicación Parse Server. La falta de validación de la audiencia es un error crítico que debe ser abordado inmediatamente, ya que permite una escalada de privilegios significativa.

Organizations utilizing Parse Server for backend services, particularly those relying on Google, Apple, or Facebook authentication, are at risk. Deployments with misconfigured authentication adapters, especially those in production environments, are particularly vulnerable. Shared hosting environments where Parse Server instances may be configured by multiple users also face increased risk.

• nodejs / server:

# Check Parse Server configuration files for missing clientId/appIds
grep -r 'clientId' /path/to/parse-server/config.yml
grep -r 'appIds' /path/to/parse-server/config.yml

• generic web:

# Monitor access logs for JWT requests with unusual origins or missing audience claims
curl -I <parse-server-url>/parse/login | grep 'Audience:'

1. 2026-03-09Disclosure

   disclosure

1. Reservado2026-03-05
2. Publicada2026-03-09
3. Modificada2026-03-16
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2026-30863 es actualizar Parse Server a la versión 9.5.0-alpha.11 o superior, donde se ha corregido la vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda configurar correctamente el clientId para Google y Apple, y appIds para Facebook en los adaptadores de autenticación. Esto fuerza la validación de la audiencia y previene la explotación. Como medida adicional, revise los registros de autenticación en busca de intentos sospechosos de autenticación con tokens JWT de fuentes desconocidas. Después de la actualización, confirme la correcta validación de la audiencia revisando los logs de autenticación y verificando que los tokens JWT presenten la audiencia esperada.