🇰🇷 한글 설명
Parse Server의 GraphQL WebSocket 엔드포인트에서 인증 및 보안 미들웨어를 우회하는 취약점이 발견되었습니다. 공격자는 유효한 API 키 없이도 GraphQL 작업을 실행하고, 비활성화된 스키마 인트로스펙션을 수행하거나 복잡도 제한을 우회하여 과도한 쿼리를 보낼 수 있습니다.
💡 쉬운 설명
서버의 보안 검사 과정을 건너뛰어 누구나 데이터베이스 구조를 훔쳐보거나 과도한 요청을 보내 서버를 마비시킬 수 있는 문제입니다. 인증 절차를 거치지 않고도 서버의 내부 정보를 조회할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 8.6.40 and 9.6.0-alpha.14, the GraphQL WebSocket endpoint for subscriptions does not pass requests through the Express middleware chain that enforces authentication, introspection control, and query complexity limits. An attacker can connect to the WebSocket endpoint and execute GraphQL operations without providing a valid application or API key, access the GraphQL schema via introspection even when public introspection is disabled, and send arbitrarily complex queries that bypass configured complexity limits. This vulnerability is fixed in 8.6.40 and 9.6.0-alpha.14.
📍 영향받는 시스템
Parse Server 8.6.40 미만 및 9.6.0-alpha.14 미만 버전
⚔️ 공격 벡터
인증이 누락된 GraphQL WebSocket 엔드포인트를 통한 비인가 쿼리 및 인트로스펙션 실행
🛡️ 대응 방법
Parse Server를 8.6.40 또는 9.6.0-alpha.14 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 8.6.40 또는 9.6.0-alpha.14보다 낮은지 확인하십시오.