🇰🇷 한글 설명
Parse Server 4.10.7 미만 버전에서 발생하는 원격 코드 실행(RCE) 취약점입니다. DatabaseController.js 파일의 프로토타입 오염(Prototype Pollution) 결함으로 인해 발생하며, MongoDB를 사용하는 기본 설정에서 주로 나타납니다.
💡 쉬운 설명
해커가 서버의 내부 설정을 조작하여 서버에서 마음대로 명령어를 실행할 수 있는 매우 위험한 보안 구멍입니다. 이 취약점을 이용하면 공격자가 서버의 제어권을 완전히 탈취할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source http web server backend. In versions prior to 4.10.7 there is a Remote Code Execution (RCE) vulnerability in Parse Server. This vulnerability affects Parse Server in the default configuration with MongoDB. The main weakness that leads to RCE is the Prototype Pollution vulnerable code in the file `DatabaseController.js`, so it is likely to affect Postgres and any other database backend as well. This vulnerability has been confirmed on Linux (Ubuntu) and Windows. Users are advised to upgrade as soon as possible. The only known workaround is to manually patch your installation with code referenced at the source GHSA-p6h4-93qp-jhcm.
📍 영향받는 시스템
Parse Server 4.10.7 미만 버전 (MongoDB 사용 환경)
⚔️ 공격 벡터
프로토타입 오염을 유발하는 특수하게 조작된 HTTP 요청을 통해 원격에서 코드 실행
🛡️ 대응 방법
Parse Server를 4.10.7 이상 버전으로 즉시 업그레이드하거나 GHSA-p6h4-93qp-jhcm의 패치를 수동 적용
🔧 검증 코드
출력된 결과에 parse-server 버전이 4.10.7 미만으로 표시되면 취약한 상태입니다.
npm list parse-server | grep -E 'parse-server@([0-3]\.|4\.[0-9]\.)'