🇰🇷 한글 설명
Parse Server의 GraphQL API 엔드포인트가 allowOrigin 서버 옵션을 준수하지 않아 모든 웹사이트로부터의 교차 출처 요청(CORS)을 무조건적으로 허용하는 취약점입니다. 이로 인해 운영자가 설정한 도메인 제한이 우회되어 보안 정책이 무력화될 수 있습니다. 해당 문제는 버전 8.6.66 및 9.7.0-alpha.10에서 패치되었습니다.
💡 쉬운 설명
웹사이트의 보안 설정이 특정 사이트만 접속할 수 있게 막아두었음에도 불구하고, GraphQL이라는 통로를 통해 누구나 접근할 수 있는 상태입니다. 이로 인해 공격자가 허용되지 않은 사이트에서 사용자의 데이터를 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.66 and 9.7.0-alpha.10, the GraphQL API endpoint does not respect the allowOrigin server option and unconditionally allows cross-origin requests from any website. This bypasses origin restrictions that operators configure to control which websites can interact with the Parse Server API. The REST API correctly enforces the configured allowOrigin restriction. This issue has been patched in versions 8.6.66 and 9.7.0-alpha.10.
📍 영향받는 시스템
Parse Server versions prior to 8.6.66 and 9.7.0-alpha.10
⚔️ 공격 벡터
악성 웹사이트를 통한 GraphQL API 엔드포인트로의 교차 출처 요청(CORS) 우회 공격
🛡️ 대응 방법
Parse Server를 버전 8.6.66 또는 9.7.0-alpha.10 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 패치된 버전(8.6.66 이상 또는 9.7.0-alpha.10 이상)이 표시되지 않으면 취약한 상태입니다.
npm list parse-server | grep -E 'parse-server@(8\.[0-9]+\.[0-9]+|9\.7\.0-alpha\.10)'