🇰🇷 한글 설명
Parse Server의 특정 버전에서 인증되지 않은 공격자가 논리 연산자가 포함된 깊게 중첩된 쿼리를 포함한 HTTP 요청을 보낼 수 있습니다. 이로 인해 Parse Server 프로세스가 영구적으로 중단되어 서버가 응답하지 않게 되며, 수동으로 재시작해야 합니다. 이는 이전 취약점인 CVE-2026-32944에 대한 수정 사항을 우회하는 문제입니다.
💡 쉬운 설명
복잡하게 꼬인 질문을 서버에 던져서 서버를 먹통으로 만드는 공격입니다. 서버가 아무런 대답도 하지 못하게 되어 서비스가 중단될 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.55 and 9.6.0-alpha.44, an attacker can send an unauthenticated HTTP request with a deeply nested query containing logical operators to permanently hang the Parse Server process. The server becomes completely unresponsive and must be manually restarted. This is a bypass of the fix for CVE-2026-32944. This issue has been patched in versions 8.6.55 and 9.6.0-alpha.44.
📍 영향받는 시스템
Parse Server 8.6.55 미만 버전 및 9.6.0-alpha.44 미만 버전
⚔️ 공격 벡터
인증되지 않은 상태에서 논리 연산자가 포함된 깊게 중첩된 쿼리를 담은 HTTP 요청 전송
🛡️ 대응 방법
Parse Server를 8.6.55 또는 9.6.0-alpha.44 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 결과에서 parse-server의 버전을 확인하여 8.6.55 또는 9.6.0-alpha.44 이상인지 확인합니다.