🇰🇷 한글 설명
Parse Server의 특정 버전에서 파일 메타데이터 엔드포인트가 beforeFind 및 afterFind 트리거를 강제하지 않는 취약점이 발견되었습니다. 이로 인해 접근 제어 게이트로 사용되는 트리거를 우회하여 권한이 없는 사용자가 파일 메타데이터에 접근할 수 있습니다.
💡 쉬운 설명
파일의 정보를 보여주는 기능에서 보안 검사 단계를 건너뛰는 문제가 발생했습니다. 이로 인해 허가되지 않은 사람이 파일의 상세 정보를 몰래 볼 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.9 and 9.5.0-alpha.9, the file metadata endpoint (GET /files/:appId/metadata/:filename) does not enforce beforeFind / afterFind file triggers. When these triggers are used as access-control gates, the metadata endpoint bypasses them entirely, allowing unauthorized access to file metadata. This issue has been patched in versions 8.6.9 and 9.5.0-alpha.9.
📍 영향받는 시스템
Parse Server 8.6.9 미만 버전 및 9.5.0-alpha.9 미만 버전
⚔️ 공격 벡터
권한 없이 특정 파일 메타데이터 엔드포인트(GET /files/:appId/metadata/:filename)에 직접 요청을 보내는 방식
🛡️ 대응 방법
Parse Server를 8.6.9 또는 9.5.0-alpha.9 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 parse-server의 버전이 8.6.9 또는 9.5.0-alpha.9 이상인지 확인합니다.