🇰🇷 한글 설명
Parse Server의 특정 버전에서 _GraphQLConfig 및 _Audience 내부 클래스에 대한 인증 우회 취약점이 발견되었습니다. 공격자는 마스터 키 없이 REST API 경로를 통해 GraphQL 설정 및 푸시 오디언스 데이터를 읽고, 수정하거나 삭제할 수 있습니다. 이 문제는 9.5.2-alpha.12 및 8.6.25 버전에서 수정되었습니다.
💡 쉬운 설명
서버의 중요한 설정과 사용자 정보를 보호하는 자물쇠가 제대로 작동하지 않는 문제입니다. 해커가 비밀번호 없이도 서버의 중요한 설정값을 바꾸거나 삭제할 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.5.2-alpha.12 and 8.6.25, the _GraphQLConfig and _Audience internal classes can be read, modified, and deleted via the generic /classes/_GraphQLConfig and /classes/_Audience REST API routes without master key authentication. This bypasses the master key enforcement that exists on the dedicated /graphql-config and /push_audiences endpoints. An attacker can read, modify and delete GraphQL configuration and push audience data. This vulnerability is fixed in 9.5.2-alpha.12 and 8.6.25.
📍 영향받는 시스템
Parse Server 9.5.2-alpha.12 미만 및 8.6.25 미만 버전
⚔️ 공격 벡터
인증이 필요 없는 REST API 경로(/classes/_GraphQLConfig, /classes/_Audience)를 통한 직접 접근
🛡️ 대응 방법
Parse Server를 9.5.2-alpha.12 또는 8.6.25 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 parse-server의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.