🇰🇷 한글 설명
Parse Server 8.6.101 이전 버전 및 9.0.0~9.10.4-alpha.4 미만 버전은 MongoDB 배포 환경에서 권한 검증 누락 취약점을 가집니다. 마스터 키가 없는 클라이언트도 임의 클래스의 저장된 스키마를 삭제할 수 있습니다. 인증되지 않은 공격자가 내부 _SCHEMA 컬렉션을 대상으로 REST API 삭제 요청을 보내 필드 정의, 클래스 수준 권한, 보호 필드를 제거하여 데이터 무단 조회 및 변경을 가능하게 합니다.
💡 쉬운 설명
인증 정보가 없는 사람도 서버의 데이터 구조 설정을 지울 수 있는 문제입니다. 이로 인해 보호되어야 할 데이터가 누구나 읽거나 바꿀 수 있는 상태가 될 수 있습니다.
🇺🇸 원문 (English)
Parse Server before 8.6.101 and 9.0.0 before 9.10.4-alpha.4 contains a missing authorization vulnerability on MongoDB deployments that lets clients without the master key delete the stored schema of any class. Unauthenticated attackers can send REST API delete requests targeting the internal _SCHEMA collection to remove field definitions, class-level permissions, and protected fields, exposing data to unauthorized reads and modifications.
📍 영향받는 시스템
Parse Server 8.6.101 미만, 9.0.0 이상 9.10.4-alpha.4 미만 (MongoDB 사용 환경)
⚔️ 공격 벡터
마스터 키 없이 REST API로 _SCHEMA 컬렉션을 대상으로 DELETE 요청을 전송하여 클래스 스키마와 권한 정보를 삭제
🛡️ 대응 방법
Parse Server를 8.6.101 이상 또는 9.10.4-alpha.4 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 8.6.101 이상이거나 9.10.4-alpha.4 이상이면 안전하며, 그보다 낮으면 취약한 버전이므로 업그레이드가 필요합니다.
npm ls parse-server 2>/dev/null | grep parse-server