🇰🇷 한글 설명
Parse Server의 특정 버전에서 인증된 사용자가 자바스크립트가 포함된 SVG 파일을 업로드할 수 있는 저장형 XSS 취약점이 발견되었습니다. 해당 파일이 보호 헤더 없이 인라인으로 제공되어 브라우저에서 스크립트가 실행될 수 있으며, 이를 통해 세션 토큰 탈취 및 계정 탈취가 가능합니다.
💡 쉬운 설명
로그인한 사용자가 악성 코드가 숨겨진 이미지 파일을 올리면, 다른 사용자가 그 이미지를 볼 때 해킹 코드가 실행됩니다. 이를 통해 해커가 사용자의 로그인 정보를 훔쳐 계정을 가로챌 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.5.2-alpha.4 and 8.6.17, a stored cross-site scripting (XSS) vulnerability allows any authenticated user to upload an SVG file containing JavaScript. The file is served inline with Content-Type: image/svg+xml and without protective headers, causing the browser to execute embedded scripts in the Parse Server origin. This can be exploited to steal session tokens from localStorage and achieve account takeover. The default fileExtensions option blocks HTML file extensions but does not block SVG, which is a well-known XSS vector. All Parse Server deployments where file upload is enabled for authenticated users (the default) are affected. This vulnerability is fixed in 9.5.2-alpha.4 and 8.6.17.
📍 영향받는 시스템
Parse Server 9.5.2-alpha.4 및 8.6.17 미만 버전 (파일 업로드 기능 활성화 시)
⚔️ 공격 벡터
인증된 사용자가 자바스크립트가 포함된 SVG 파일을 업로드하여 브라우저에서 실행 유도
🛡️ 대응 방법
Parse Server를 9.5.2-alpha.4 또는 8.6.17 이상의 최신 버전으로 업데이트
🔧 검증 코드
출력된 parse-server의 버전이 9.5.2-alpha.4 또는 8.6.17보다 낮은지 확인