🇰🇷 한글 설명
Parse Server의 배치 요청(/batch) 엔드포인트가 Express 미들웨어 계층을 거치지 않고 내부적으로 서브 요청을 처리하여 속도 제한(Rate Limiting)을 우회하는 취약점입니다. 공격자는 여러 요청을 하나의 배치 요청에 담아 전송함으로써 설정된 속도 제한을 무력화할 수 있습니다. 이 문제는 9.5.2-alpha.10 및 8.6.23 버전에서 수정되었습니다.
💡 쉬운 설명
한 번에 하나씩만 요청하도록 정해둔 규칙을, 여러 개의 요청을 하나의 꾸러미로 묶어 보내서 규칙을 속이는 문제입니다. 이를 통해 공격자는 제한된 횟수보다 훨씬 많은 요청을 서버에 보낼 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior o 9.5.2-alpha.10 and 8.6.23, Parse Server's rate limiting middleware is applied at the Express middleware layer, but the batch request endpoint (/batch) processes sub-requests internally by routing them directly through the Promise router, bypassing Express middleware including rate limiting. An attacker can bundle multiple requests targeting a rate-limited endpoint into a single batch request to circumvent the configured rate limit. Any Parse Server deployment that relies on the built-in rate limiting feature is affected. This vulnerability is fixed in 9.5.2-alpha.10 and 8.6.23.
📍 영향받는 시스템
Parse Server 9.5.2-alpha.10 및 8.6.23 미만 버전
⚔️ 공격 벡터
단일 /batch 엔드포인트에 여러 개의 서브 요청을 포함하여 전송함으로써 Express 미들웨어의 속도 제한을 우회함
🛡️ 대응 방법
Parse Server를 9.5.2-alpha.10 또는 8.6.23 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 parse-server의 버전이 9.5.2-alpha.10 또는 8.6.23보다 낮은지 확인하십시오.