🇰🇷 한글 설명
Parse Server의 특정 버전에서 동시 요청 간에 트랜잭션 배치 상태가 공유되는 취약점이 발견되었습니다. 이로 인해 한 클라이언트의 배치 요청이 다른 클라이언트의 데이터베이스 쓰기 작업에 간섭을 일으킬 수 있으며, PostgreSQL이나 MongoDB 환경에서 데이터 롤백 또는 트랜잭션 무한 대기 현상이 발생할 수 있습니다.
💡 쉬운 설명
여러 사용자가 동시에 데이터를 저장할 때, 한 사람의 작업 오류가 다른 사람의 데이터 저장까지 방해하거나 취소시킬 수 있는 문제입니다. 이로 인해 데이터가 사라지거나 시스템이 멈추는 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
Parse Server 5.4.0 before 8.6.96 and 9.0.0 before 9.10.2-alpha.5 shares transactional batch state across concurrent requests, letting any client's transactional batch request interfere with other clients' database writes. On PostgreSQL or MongoDB replica sets and sharded clusters, other clients' acknowledged writes are rolled back if the batch fails, and PostgreSQL transactions can remain open indefinitely, causing subsequent writes to fail.
📍 영향받는 시스템
Parse Server 5.4.0 미만 8.6.96 버전 및 9.0.0 미만 9.10.2-alpha.5 버전
⚔️ 공격 벡터
동시 요청을 이용한 트랜잭션 배치 상태 간섭 공격
🛡️ 대응 방법
Parse Server를 8.6.96 또는 9.10.2-alpha.5 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에 취약한 버전 범위가 포함되어 있다면 업데이트가 필요합니다.
npm list parse-server | grep -E 'parse-server@([5-8]\.[0-4]\.|9\.[0-9]\.)'