🇰🇷 한글 설명
Parse Server의 특정 버전에서 GraphQL 유효성 검사 및 입력 강제 오류 메시지를 통해 숨겨진 스키마 클래스 이름을 노출하는 취약점이 발견되었습니다. 공격자는 인증 없이도 공개 애플리케이션 ID만 사용하여 데이터베이스의 내부 클래스 구조를 재구성할 수 있습니다. 다만, 이 취약점은 메타데이터만 노출할 뿐 실제 데이터나 자격 증명을 유출하지는 않습니다.
💡 쉬운 설명
해커가 데이터베이스의 내부 설계도를 몰래 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 실제 데이터가 털리는 것은 아니지만, 다음 공격을 위한 준비 단계로 사용될 수 있어 주의가 필요합니다.
🇺🇸 원문 (English)
Parse Server versions >= 9.0.0 before 9.10.0-alpha.6 and >= 8.2.2 before 8.6.87 disclose Pointer and Relation target class names through GraphQL validation and input-coercion error messages when public schema introspection is disabled (graphQLPublicIntrospection: false, the default). Because these errors are produced before authentication, authorization, or any resolver runs, an unauthenticated client possessing only the public application ID can trigger errors on Pointer or Relation fields to reconstruct hidden schema class names, partially defeating the schema-hiding protection. Only schema metadata (class names) is exposed; no object data, credentials, or user records are disclosed.
📍 영향받는 시스템
Parse Server >= 9.0.0 (before 9.10.0-alpha.6) 및 >= 8.2.2 (before 8.6.87)
⚔️ 공격 벡터
인증되지 않은 클라이언트가 공개 애플리케이션 ID를 사용하여 GraphQL 오류를 유도함으로써 스키마 정보를 수집
🛡️ 대응 방법
Parse Server를 9.10.0-alpha.6 이상 또는 8.6.87 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 업데이트가 필요한 상태입니다.
npm list parse-server | grep -E 'parse-server@([8]\.6\.[0-9]{2,}|9\.[0-9]+\.[0-9]+)'