🇰🇷 한글 설명
Parse Server 8.6.80 및 9.9.1-alpha.6 이전 버전에서 $relatedTo 연산자를 사용한 관계 쿼리 시, protectedFields나 ACL로 보호된 Relation 필드의 멤버십 정보가 무단으로 노출되는 취약점입니다. 인증 없이 공개 API 키만으로 소유 객체의 objectId를 알면 보호된 관계의 멤버십을 열거하거나 확인하는membership oracle 공격이 가능합니다.
💡 쉬운 설명
비밀로 해야 할 그룹이나 연결 정보를, 비밀번호 없이 공개 키만으로 훔쳐볼 수 있는 문제입니다. 개발자가 설정한 보안 장치가 우회되어 사적인 데이터가 노출될 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to versions 8.6.80 and 9.9.1-alpha.6, a relation query using the $relatedTo operator could read the membership of a Relation field even when that field was hidden from the requesting client by protectedFields, and even when the object owning the relation was not readable by the client under its ACL or class-level permissions. The request requires only the public API credentials that Parse clients normally carry — no user session, master key, or Cloud Code is needed. As a result, an unauthenticated client who knows or obtains the owning object's objectId could enumerate the objects linked through a protected relation, or combine the operator with an objectId constraint to use it as a membership oracle — confirming whether a specific object is linked to a private parent. This affects applications that rely on protectedFields or object ACLs to keep Relation membership confidential, such as private group memberships, block lists, or account-to-resource associations. This issue has been patched in versions 8.6.80 and 9.9.1-alpha.6.
📍 영향받는 시스템
Parse Server < 8.6.80, < 9.9.1-alpha.6
⚔️ 공격 벡터
공개 API 키를 사용하여 $relatedTo 연산자로 보호된 Relation 필드 멤버십 조회
🛡️ 대응 방법
Parse Server를 버전 8.6.80 또는 9.9.1-alpha.6 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 8.6.80 미만 또는 9.9.1-alpha.6 미만인 경우 취약한 것으로 판단
npm list parse-server 2>/dev/null | grep -E 'parse-server@'
💻 영향받는 소프트웨어
IBM WebSphere Application Server