🇰🇷 한글 설명
Parse Server의 Pages 및 legacy PublicAPI 경로에서 이메일 인증 링크 재전송 시 사용자 존재 여부에 따라 응답이 달라지는 취약점이 발견되었습니다. 이를 통해 인증되지 않은 공격자가 유효한 사용자 이름을 열거할 수 있습니다. 해당 문제는 8.6.51 및 9.6.0-alpha.40 버전에서 패치되었습니다.
💡 쉬운 설명
이메일 인증을 요청할 때 아이디가 존재하는지 아닌지를 시스템이 다르게 대답해주는 문제입니다. 해커는 이 차이를 이용해 서비스에 가입된 실제 아이디 목록을 알아낼 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.51 and 9.6.0-alpha.40, the Pages route and legacy PublicAPI route for resending email verification links return distinguishable responses depending on whether the provided username exists and has an unverified email. This allows an unauthenticated attacker to enumerate valid usernames by observing different redirect targets. The existing emailVerifySuccessOnInvalidEmail configuration option, which is enabled by default and protects the API route against this, did not apply to these routes. This issue has been patched in versions 8.6.51 and 9.6.0-alpha.40.
📍 영향받는 시스템
Parse Server versions prior to 8.6.51 and 9.6.0-alpha.40
⚔️ 공격 벡터
인증되지 않은 공격자가 이메일 재전송 경로에 다양한 사용자 이름을 입력하여 리다이렉트 대상의 차이를 관찰함
🛡️ 대응 방법
Parse Server를 8.6.51 또는 9.6.0-alpha.40 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 패치된 버전(8.6.51 이상 또는 9.6.0-alpha.40 이상)이 나타나지 않으면 취약한 상태입니다.
npm list parse-server | grep -E 'parse-server@([8]\.[0-6]\.[5-9][0-9]+|[9]\.[6]\.[0-9]+)'