🇰🇷 한글 설명
Parse Server의 GraphQL API에서 인증 없이 GraphQL 스키마에 공개적으로 접근할 수 있는 취약점입니다. 스키마 메타데이터는 실제 데이터를 노출하지는 않지만, 공격 표면을 확대할 수 있습니다. 버전 7.5.3 및 8.2.2에서 수정되었습니다.
💡 쉬운 설명
Parse Server의 API 구조 정보가 비밀번호 없이 누구나 볼 수 있도록 노출되어 있습니다. 직접적인 데이터 유출은 아니지만 공격자가 더 정교한 공격을 계획하는 데 도움이 될 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Starting in 5.3.0 and before 7.5.3 and 8.2.2, the Parse Server GraphQL API previously allowed public access to the GraphQL schema without requiring a session token or the master key. While schema introspection reveals only metadata and not actual data, this metadata can still expand the potential attack surface. This vulnerability is fixed in 7.5.3 and 8.2.2.
📍 영향받는 시스템
Parse Server 5.3.0 이상 7.5.3 미만, 8.x 버전 중 8.2.2 미만
⚔️ 공격 벡터
GraphQL 엔드포인트에 인증 없이 쿼리를 전송하여 서버 스키마와 메타데이터 정보 획득
🛡️ 대응 방법
Parse Server를 7.5.3 또는 8.2.2 이상으로 업그레이드
🔧 검증 코드
VULNERABLE이 출력되면 인증 없이 스키마 접근 가능, PATCHED이면 취약점 패치됨
curl -s http://localhost:1337/graphql -X POST -H 'Content-Type: application/json' -d '{"query":"{ __schema { types { name } } }"}' 2>/dev/null | grep -q '__schema' && echo 'VULNERABLE' || echo 'PATCHED'