🇰🇷 한글 설명
Parse Server의 특정 버전에서 인증된 사용자가 REST API를 통해 자신의 세션 필드인 expiresAt 및 createdWith를 덮어쓸 수 있는 취약점이 발견되었습니다. 이를 통해 서버에 설정된 세션 만료 정책을 우회하여 세션을 영구적으로 유지할 수 있습니다. 이 문제는 8.6.57 및 9.6.0-alpha.48 버전에서 패치되었습니다.
💡 쉬운 설명
로그인한 사용자가 자신의 로그인 유효 기간을 마음대로 늘릴 수 있는 보안 결함입니다. 이로 인해 원래는 로그아웃되어야 할 계정이 로그아웃되지 않고 계속 로그인 상태를 유지할 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.57 and 9.6.0-alpha.48, an authenticated user can overwrite server-generated session fields such as expiresAt and createdWith when updating their own session via the REST API. This allows bypassing the server's configured session lifetime policy, making a session effectively permanent. This issue has been patched in versions 8.6.57 and 9.6.0-alpha.48.
📍 영향받는 시스템
Parse Server versions prior to 8.6.57 and 9.6.0-alpha.48
⚔️ 공격 벡터
인증된 사용자가 REST API를 사용하여 세션 정보(expiresAt 등)를 업데이트하는 방식
🛡️ 대응 방법
Parse Server를 8.6.57 또는 9.6.0-alpha.48 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 패치된 버전(8.6.57 이상 또는 9.6.0-alpha.48 이상)이 표시되지 않으면 취약한 상태입니다.
npm list parse-server | grep -E 'parse-server@([8]\.[0-6]\.[5-9][0-9]+|[9]\.[6]\.[0-9]+)'