🇰🇷 한글 설명
Parse Server의 특정 버전에서 readOnlyMasterKey가 Files API를 통해 파일을 생성하거나 삭제할 수 있는 취약점이 발견되었습니다. 이는 읽기 전용 권한 제한을 우회하여 파일 시스템에 임의의 파일을 업로드하거나 기존 파일을 삭제할 수 있게 합니다. 해당 문제는 8.6.5 및 9.5.0-alpha.3 버전에서 패치되었습니다.
💡 쉬운 설명
읽기 전용 권한만 있어야 하는 열쇠로 파일을 마음대로 올리거나 지울 수 있는 보안 결함입니다. 이 열쇠를 가진 공격자는 서버에 허가되지 않은 파일을 심거나 중요한 파일을 삭제할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.5 and 9.5.0-alpha.3, the readOnlyMasterKey can be used to create and delete files via the Files API (POST /files/:filename, DELETE /files/:filename). This bypasses the read-only restriction which violates the access scope of the readOnlyMasterKey. Any Parse Server deployment that uses readOnlyMasterKey and exposes the Files API is affected. An attacker with access to the readOnlyMasterKey can upload arbitrary files or delete existing files. This issue has been patched in versions 8.6.5 and 9.5.0-alpha.3.
📍 영향받는 시스템
Parse Server 8.6.5 미만 버전 및 9.5.0-alpha.3 미만 버전
⚔️ 공격 벡터
readOnlyMasterKey를 사용하여 Files API(POST/DELETE)를 호출하여 파일 조작
🛡️ 대응 방법
Parse Server를 8.6.5 또는 9.5.0-alpha.3 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 8.6.5 또는 9.5.0-alpha.3보다 낮은지 확인하십시오.