🇰🇷 한글 설명
Parse Server 8.6.104 이전 버전 및 9.10.5-alpha.5 이전 9.0.0 버전에서, SMS 다중인증(MFA) 인증 코드를 발급할 때 로그인 요청 전체가 마스터 권한으로 저장된다. SMS MFA에 등록된 사용자는 요청에 추가 필드를 포함시켜 마스터 키로만 수정 가능한 자신의 계정 필드(이메일 인증 플래그, beforeSave로 보호되는 값 등)를 변경할 수 있다.
💡 쉬운 설명
Parse Server를 사용하는 서비스에서 SMS 인증으로 로그인하는 일반 사용자가 자신의 계정 정보 중 보호되어야 할 항목을 임의로 바꿀 수 있는 취약점입니다. 관리자만 바꿀 수 있어야 할 값을 사용자가 우회해서 변경할 수 있습니다.
🇺🇸 원문 (English)
Parse Server before 8.6.104 and 9.0.0 before 9.10.5-alpha.5 saves the entire login request with master privileges when issuing an SMS multi-factor authentication verification code. An SMS MFA-enrolled user can include extra fields in that request to modify master-key-restricted fields on their own account, such as the email-verification flag or beforeSave-protected values.
📍 영향받는 시스템
Parse Server 8.6.104 미만, 9.0.0 이상 9.10.5-alpha.5 미만 버전
⚔️ 공격 벡터
SMS MFA가 등록된 계정으로 로그인 요청에 마스터 권한으로 보호되는 필드를 추가 전송하여 계정 속성을 변조
🛡️ 대응 방법
Parse Server를 8.6.104 이상 또는 9.10.5-alpha.5 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 8.6.104 이상이거나 9.10.5-alpha.5 이상이면 안전하며, 그보다 낮은 버전이면 즉시 업그레이드가 필요합니다.
npm ls parse-server 2>/dev/null | grep parse-server