🇰🇷 한글 설명
Parse Server의 특정 버전에서 Cloud Code Webhook 또는 Trigger를 통해 requestKeywordDenylist 옵션에 지정된 키워드를 주입할 수 있는 취약점이 발견되었습니다. 이로 인해 금지된 키워드가 데이터베이스에 저장되어 보안 설정이 우회될 수 있습니다. 이 문제는 4.10.19 및 5.3.2 버전에서 수정되었습니다.
💡 쉬운 설명
서버에서 금지하기로 약속한 특정 단어들을 공격자가 몰래 등록하여 보안 규칙을 무력화할 수 있는 문제입니다. 이를 통해 차단되어야 할 데이터가 정상적으로 저장되는 보안 구멍이 발생합니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. In versions prior to 5.3.2 or 4.10.19, keywords that are specified in the Parse Server option `requestKeywordDenylist` can be injected via Cloud Code Webhooks or Triggers. This will result in the keyword being saved to the database, bypassing the `requestKeywordDenylist` option. This issue is fixed in versions 4.10.19, and 5.3.2. If upgrade is not possible, the following Workarounds may be applied: Configure your firewall to only allow trusted servers to make request to the Parse Server Cloud Code Webhooks API, or block the API completely if you are not using the feature.
📍 영향받는 시스템
Parse Server versions prior to 4.10.19 and 5.3.2
⚔️ 공격 벡터
Cloud Code Webhooks 또는 Triggers를 통한 키워드 주입 공격
🛡️ 대응 방법
Parse Server를 4.10.19 또는 5.3.2 이상의 버전으로 업그레이드하거나, 방화벽을 통해 신뢰할 수 있는 서버만 Webhooks API에 접근하도록 제한하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 4.10.19 미만 또는 5.3.2 미만인지 확인하십시오.