🇰🇷 한글 설명
Parse Server의 PostgreSQL 저장소 어댑터에서 점 표기법(dot notation)을 사용한 중첩 객체 필드의 Increment 작업 처리 시 SQL 인젝션 취약점이 존재합니다. 공격자가 REST API를 통해 악의적인 SQL 서브쿼리를 주입하면 ACL 및 CLP를 우회하여 데이터베이스의 모든 데이터를 읽을 수 있습니다.
💡 쉬운 설명
데이터를 숫자로 올리는 기능을 사용할 때, 입력값 검증이 제대로 되지 않아 해커가 몰래 명령어를 끼워 넣을 수 있는 문제입니다. 이를 통해 해커는 권한 없이도 데이터베이스에 저장된 모든 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. A SQL injection vulnerability exists in the PostgreSQL storage adapter when processing Increment operations on nested object fields using dot notation (e.g., stats.counter). The amount value is interpolated directly into the SQL query without parameterization or type validation. An attacker who can send write requests to the Parse Server REST API can inject arbitrary SQL subqueries to read any data from the database, bypassing CLPs and ACLs. MongoDB deployments are not affected. This vulnerability is fixed in 9.6.0-alpha.3 and 8.6.29.
📍 영향받는 시스템
Parse Server (PostgreSQL 사용 시, 9.6.0-alpha.3 및 8.6.29 미만 버전)
⚔️ 공격 벡터
Parse Server REST API를 통한 악의적인 SQL 서브쿼리 주입
🛡️ 대응 방법
Parse Server를 9.6.0-alpha.3 또는 8.6.29 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 수정된 버전(9.6.0-alpha.3 또는 8.6.29 이상)이 표시되면 취약점이 해결된 것입니다.
npm list parse-server | grep -E '9.6.0-alpha.3|8.6.29'