🇰🇷 한글 설명
Parse Server의 특정 버전에서 requestKeywordDenylist 보안 제어를 우회할 수 있는 논리적 결함이 발견되었습니다. 요청 페이로드 내 금지된 키워드 앞에 중첩된 객체나 배열을 배치하면 스캔 프로세스가 중단되어 보안 검사를 통과할 수 있습니다. 이 취약점은 개발자가 설정한 모든 사용자 정의 키워드 차단 목록에도 동일하게 적용됩니다.
💡 쉬운 설명
차단 목록에 있는 단어를 입력하면 서버가 이를 막아야 하는데, 단어 앞에 복잡한 구조를 넣으면 서버가 검사를 건너뛰는 버그입니다. 이를 통해 금지된 단어를 필터링 없이 서버에 보낼 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 8.6.12 and 9.5.1-alpha.1, the requestKeywordDenylist security control can be bypassed by placing any nested object or array before a prohibited keyword in the request payload. This is caused by a logic bug that stops scanning sibling keys after encountering the first nested value. Any custom requestKeywordDenylist entries configured by the developer are equally by-passable using the same technique. All Parse Server deployments are affected. The requestKeywordDenylist is enabled by default. This vulnerability is fixed in 8.6.12 and 9.5.1-alpha.1. Use a Cloud Code beforeSave trigger to validate incoming data for prohibited keywords across all classes.
📍 영향받는 시스템
Parse Server 8.6.12 미만 및 9.5.1-alpha.1 미만 버전
⚔️ 공격 벡터
요청 페이로드 내 금지된 키워드 앞에 중첩된 객체(Object) 또는 배열(Array)을 삽입하여 스캔 로직 우회
🛡️ 대응 방법
Parse Server를 8.6.12 또는 9.5.1-alpha.1 이상의 버전으로 업데이트하거나, Cloud Code의 beforeSave 트리거를 사용하여 데이터를 검증하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 출력되면 해당 버전이 설치되어 있는 상태입니다.
npm list parse-server | grep -E 'parse-server@([8]\.[0-6]\.[1-11]|9\.[5]\.[0-1])'