🇰🇷 한글 설명
Parse Server의 LiveQuery 기능에서 클래스의 보호된 필드를 제거하지 않고 클라이언트에 그대로 전달하는 취약점이 발견되었습니다. 이로 인해 민감한 데이터가 노출될 수 있으며, 최신 버전의 LiveQueryController로 업데이트하거나 수동으로 필드를 제거하는 조치가 필요합니다.
💡 쉬운 설명
서버가 클라이언트에게 데이터를 보낼 때 숨겨야 할 중요한 정보까지 함께 보내버리는 보안 허점이 발견되었습니다. 이로 인해 비밀번호나 개인정보 같은 민감한 내용이 외부로 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. In affected versions parse Server LiveQuery does not remove protected fields in classes, passing them to the client. The LiveQueryController now removes protected fields from the client response. Users are advised to upgrade. Users unable t upgrade should use `Parse.Cloud.afterLiveQueryEvent` to manually remove protected fields.
📍 영향받는 시스템
Parse Server (LiveQuery 기능을 사용하는 버전)
⚔️ 공격 벡터
LiveQuery를 통해 실시간 데이터를 수신하는 클라이언트가 보호된 필드에 접근하여 민감한 정보를 탈취
🛡️ 대응 방법
Parse Server를 최신 버전으로 업그레이드하거나, 업그레이드가 불가능할 경우 `Parse.Cloud.afterLiveQueryEvent`를 사용하여 수동으로 보호 필드를 제거
🔧 검증 코드
출력된 parse-server의 버전을 확인하여 취약점이 해결된 최신 버전인지 대조