🇰🇷 한글 설명
Parse Server 4.5.0 미만 버전에서 LDAP 인증에 사용되는 사용자 비밀번호가 평문으로 저장되는 취약점이 발견되었습니다. 이 문제는 인증 후 비밀번호를 제거하도록 하여 해결되었으며, 4.5.0 버전부터 수정되었습니다.
💡 쉬운 설명
로그인할 때 사용하는 비밀번호가 암호화되지 않은 일반 텍스트 상태로 서버에 저장되는 보안 결함입니다. 이로 인해 서버가 해킹당할 경우 사용자의 비밀번호가 그대로 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. It is an npm package "parse-server". In Parse Server before version 4.5.0, user passwords involved in LDAP authentication are stored in cleartext. This is fixed in version 4.5.0 by stripping password after authentication to prevent cleartext password storage.
📍 영향받는 시스템
Parse Server (npm package 'parse-server') 4.5.0 미만 버전
⚔️ 공격 벡터
서버 내부 데이터베이스 또는 로그에 접근 가능한 공격자가 평문으로 저장된 사용자 비밀번호를 탈취
🛡️ 대응 방법
Parse Server를 보안 패치가 적용된 4.5.0 이상의 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 parse-server의 버전이 4.5.0 미만인지 확인