🇰🇷 한글 설명
Parse Server의 LiveQuery WebSocket 인터페이스가 클래스 수준 권한(CLP)의 포인터 권한(readUserFields 및 pointerFields)을 강제하지 않는 취약점입니다. 인증된 사용자가 LiveQuery 이벤트를 구독하면 포인터 필드가 자신을 가리키지 않더라도 모든 객체의 실시간 업데이트를 수신할 수 있어, REST API로 제한된 민감한 데이터에 무단 접근이 가능합니다.
💡 쉬운 설명
로그인한 사용자가 자신과 상관없는 다른 사람의 개인 정보가 실시간으로 업데이트되는 것을 몰래 훔쳐볼 수 있는 보안 구멍입니다. 원래는 허락된 정보만 보여줘야 하는데, 실시간 통신 기능에서 이 규칙이 제대로 작동하지 않는 문제입니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.53 and 9.6.0-alpha.42, Parse Server's LiveQuery WebSocket interface does not enforce Class-Level Permission (CLP) pointer permissions (readUserFields and pointerFields). Any authenticated user can subscribe to LiveQuery events and receive real-time updates for all objects in classes protected by pointer permissions, regardless of whether the pointer fields on those objects point to the subscribing user. This bypasses the intended read access control, allowing unauthorized access to potentially sensitive data that is correctly restricted via the REST API. This issue has been patched in versions 8.6.53 and 9.6.0-alpha.42.
📍 영향받는 시스템
Parse Server versions prior to 8.6.53 and 9.6.0-alpha.42
⚔️ 공격 벡터
인증된 사용자가 LiveQuery WebSocket을 통해 권한이 없는 클래스의 실시간 데이터 업데이트를 구독함
🛡️ 대응 방법
Parse Server를 8.6.53 또는 9.6.0-alpha.42 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 8.6.53 또는 9.6.0-alpha.42보다 낮은지 확인하십시오.
npm list parse-server | grep -E 'parse-server@'