🇰🇷 한글 설명
Parse Server의 특정 버전에서 파일 업로드 시 확장자 차단 목록을 우회할 수 있는 취약점이 발견되었습니다. 공격자가 비표준 또는 복합 확장자를 사용하여 위험한 콘텐츠를 업로드하면, S3나 GCS와 같은 저장소에서 해당 파일이 실행되어 저장형 XSS 공격이 가능해집니다.
💡 쉬운 설명
파일을 올릴 때 허용되지 않은 파일을 막는 보안 규칙을 속여서 악성 파일을 올릴 수 있는 문제입니다. 이렇게 올라간 파일이 실행되면 사용자의 정보를 훔치는 등의 공격을 받을 수 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.9.1-alpha.11 and 8.6.81, the default fileUpload.fileExtensions blocklist could be bypassed by uploading a file with a non-standard or compound extension and dangerous content type, allowing storage adapters such as S3 and GCS to serve attacker-supplied active content and enable stored cross-site scripting. This issue is fixed in versions 9.9.1-alpha.11 and 8.6.81.
📍 영향받는 시스템
Parse Server 9.9.1-alpha.11 및 8.6.81 미만 버전
⚔️ 공격 벡터
비표준 또는 복합 확장자를 이용한 파일 업로드 및 저장소(S3, GCS)를 통한 악성 콘텐츠 실행
🛡️ 대응 방법
Parse Server를 9.9.1-alpha.11 또는 8.6.81 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 수정된 버전(9.9.1-alpha.11 또는 8.6.81 이상)이 표시되면 취약점이 해결된 상태입니다.
npm list parse-server | grep -E 'parse-server@(9.9.1-alpha.11|8.6.81)'