🇰🇷 한글 설명
Parse Server의 특정 버전에서 저장형 XSS 취약점이 발견되었습니다. 파일 확장자가 인식되지 않을 때 클라이언트가 제공한 Content-Type을 그대로 유지하는 결함을 악용하여, 잘못된 MIME 타입을 통해 파일 확장자 차단 목록을 우회하고 악성 스크립트를 실행할 수 있습니다.
💡 쉬운 설명
파일을 올릴 때 파일 형식을 속여서 서버에 저장하는 공격입니다. 이렇게 저장된 파일을 다른 사용자가 열면 웹사이트 내에서 악성 코드가 자동으로 실행될 수 있습니다.
🇺🇸 원문 (English)
Parse Server is affected by a stored cross-site scripting (XSS) vulnerability in versions >= 9.0.0, < 9.10.0-alpha.2 and <= 8.6.83. When an uploaded file's extension is not recognized by the mime package, Parse Server preserves the client-supplied Content-Type. A malformed Content-Type that is not a valid type/subtype media type (e.g., 'image', 'image/', or 'image//svg+xml') bypasses the fileUpload.fileExtensions blocklist and is stored unchanged. On storage adapters that persist and serve the uploaded Content-Type (such as Amazon S3, Google Cloud Storage, or Azure Blob Storage), a browser cannot parse the malformed value and falls back to MIME-sniffing; a file whose body begins with HTML is rendered as HTML, executing embedded script in the application's origin against other users who open the file URL. The default GridFS storage adapter is not affected. Fixed in 9.10.0-alpha.2 and 8.6.84.
📍 영향받는 시스템
Parse Server >= 9.0.0, < 9.10.0-alpha.2 및 <= 8.6.83 (GridFS 제외)
⚔️ 공격 벡터
잘못된 형식의 Content-Type을 포함한 파일을 업로드하여 MIME-sniffing을 유도하고 스크립트 실행
🛡️ 대응 방법
Parse Server를 9.10.0-alpha.2 또는 8.6.84 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위의 parse-server가 출력되면 해당 시스템은 보안 업데이트가 필요합니다.
npm list parse-server | grep -E 'parse-server@([8]\.(6[0-8][0-9]|8[0-9][0-9])|9\.(0|1|2|3|4|5|6|7|8|9))'