🇰🇷 한글 설명
Parse Server의 비밀번호 재설정 및 이메일 인증 HTML 페이지에서 반사형 XSS 취약점이 발견되었습니다. 8.6.1 및 9.1.0-alpha.3 미만 버전에서 발생하며, 사용자 제어 값이 HTML 페이지에 적절히 이스케이프되지 않아 발생합니다.
💡 쉬운 설명
해커가 조작된 링크를 통해 사용자의 브라우저에서 악성 스크립트를 실행할 수 있는 보안 약점입니다. 이를 통해 사용자의 세션 정보를 탈취하거나 웹사이트를 변조할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. In versions prior to 8.6.1 and 9.1.0-alpha.3, a Reflected Cross-Site Scripting (XSS) vulnerability exists in Parse Server's password reset and email verification HTML pages. The patch, available in versions 8.6.1 and 9.1.0-alpha.3, escapes user controlled values that are inserted into the HTML pages. No known workarounds are available.
📍 영향받는 시스템
Parse Server 8.6.1 미만 버전 및 9.1.0-alpha.3 미만 버전
⚔️ 공격 벡터
비밀번호 재설정 또는 이메일 인증 링크에 악성 스크립트가 포함된 URL을 삽입하여 사용자에게 클릭하도록 유도
🛡️ 대응 방법
Parse Server를 8.6.1 또는 9.1.0-alpha.3 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 결과에서 parse-server의 버전을 확인하여 8.6.1 또는 9.1.0-alpha.3 이상인지 체크