🇰🇷 한글 설명
Parse Server 8.6.102 미만 및 9.0.0 ~ 9.10.5-alpha.2 미만 버전에서, AuthAdapter를 상속한 커스텀 어댑터의 validateSetUp, validateLogin, validateUpdate 메서드가 호출되지 않고 임의의 authData를 허용하는 기본 구현이 대신 사용되어 인증 우회가 발생합니다. 공격자는 임의의 authData를 제공하여 회원가입, 신원 연결, 기존 사용자 로그인, 추가 인증 요소 생략이 가능합니다.
💡 쉬운 설명
Parse Server에서 개발자가 만든 로그인 검사 기능이 실행되지 않고 기본 설정이 대신 적용되어, 누구든지 아무 정보로 로그인할 수 있습니다. 다른 사람의 계정에도 접근할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Parse Server before 8.6.102 and 9.0.0 before 9.10.5-alpha.2 contains an authentication bypass because the validateSetUp, validateLogin, and validateUpdate methods of custom adapters subclassing AuthAdapter are never called, and an inherited default that accepts any authData is used instead. Attackers can supply arbitrary authData to sign up, link identities, log in as existing users, or skip custom additional authentication factors.
📍 영향받는 시스템
Parse Server 8.6.102 미만, 9.0.0 이상 9.10.5-alpha.2 미만 버전 (커스텀 AuthAdapter 사용 환경)
⚔️ 공격 벡터
임의의 authData 값을 인증 요청에 담아 전송하여 회원가입, 계정 연결, 기존 사용자 로그인 또는 추가 인증 단계 우회
🛡️ 대응 방법
Parse Server를 8.6.102 이상 또는 9.10.5-alpha.2 이상으로 업그레이드하고, 커스텀 어댑터의 검증 메서드 구현을 점검
🔧 검증 코드
출력된 버전이 8.6.102 미만이거나 9.0.0 이상 9.10.5-alpha.2 미만이면 취약하며, 그 외 버전이면 패치된 것입니다.
npm ls parse-server 2>/dev/null | grep parse-server