🇰🇷 한글 설명
Parse Server 8.6.98 미만 및 9.0.0 9.10.3-alpha.1 미만 버전에서 _Session 클래스의 생성 및 필드 추가 권한이 제대로 강제되지 않는 취약점이 발견되었습니다. 인증된 사용자나 세션 토큰을 탈취한 공격자는 해당 사용자의 추가 세션을 생성하거나 필드를 추가할 수 있으며, 이 세션들은 원래 세션이 로그아웃되어도 취소되지 않습니다.
💡 쉬운 설명
로그인 정보가 담긴 세션 관리 기능에 허점이 있어, 공격자가 사용자의 권한을 이용해 몰래 새로운 로그인 상태를 계속 만들어낼 수 있습니다. 이렇게 만들어진 가짜 로그인 상태는 사용자가 로그아웃을 해도 사라지지 않아 보안에 매우 위험합니다.
🇺🇸 원문 (English)
Parse Server before 8.6.98 and 9.0.0 before 9.10.3-alpha.1 does not enforce the create and addField class-level permissions of the _Session class when creating sessions. An authenticated user, or anyone holding that user's session token, can send POST requests to /sessions or /classes/_Session to create additional sessions for that user and add fields to _Session; these sessions are not revoked when the original session is logged out.
📍 영향받는 시스템
Parse Server < 8.6.98, Parse Server 9.0.0 < 9.10.3-alpha.1
⚔️ 공격 벡터
인증된 사용자가 /sessions 또는 /classes/_Session 엔드포인트로 POST 요청을 전송하여 추가 세션 생성 및 필드 조작
🛡️ 대응 방법
Parse Server를 8.6.98 이상 또는 9.10.3-alpha.1 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 취약한 버전 범위에 포함되는지 확인하십시오.