🇰🇷 한글 설명
Parse Server의 특정 버전에서 LiveQuery 구독자가 권한이 없는 객체 필드 값을 수신할 수 있는 취약점이 발견되었습니다. 단일 저장 작업이 객체 필드와 구독자의 ACL 읽기 권한을 동시에 변경할 때, leave 및 enter 이벤트가 잘못된 객체 상태를 포함하기 때문에 발생합니다.
💡 쉬운 설명
데이터를 실시간으로 받아보는 기능에서 보안 설정이 바뀌더라도 이전의 잘못된 정보가 전달될 수 있는 문제입니다. 이로 인해 사용자가 읽어서는 안 되는 민감한 정보가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Prior to 9.9.1-alpha.13 and 8.6.83, a LiveQuery subscriber could receive object field values they were not authorized to read when a single save changed both an object field and the subscriber's ACL read access, because leave and enter events included the wrong object state. This issue is fixed in versions 9.9.1-alpha.13 and 8.6.83.
📍 영향받는 시스템
Parse Server 9.9.1-alpha.13 및 8.6.83 미만 버전
⚔️ 공격 벡터
LiveQuery 구독을 통해 권한이 변경되는 시점에 발생하는 데이터 동기화 오류를 이용한 정보 유출
🛡️ 대응 방법
Parse Server를 9.9.1-alpha.13 또는 8.6.83 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 parse-server의 버전이 9.9.1-alpha.13 또는 8.6.83보다 낮은지 확인하십시오.