p PatchFirst

CVE-2022-36079

CVE-2022-36079 · Parse Server vulnerable to brute force guessing of user sensitive data via search patterns

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. Internal fields (keys used internally by Parse Server, prefixed by `_`) and protected fields (user defined) can be used as query constraints. Internal and protected fields are removed by Parse Server and are only returned to the client using a valid master key. However, using query constraints, these fields can be guessed by enumerating until Parse Server, prior to versions 4.10.14 or 5.2.5, returns a response object. The patch available in versions 4.10.14 and 5.2.5 requires the maser key to use internal and protected fields as query constraints. As a workaround, implement a Parse Cloud Trigger `beforeFind` and manually remove the query constraints.

CVSS 8.6 · Высокий · EPSS 1,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • parse-server

    Версии
    • < 4.10.14: Затронуто
    • >= 5.0.0, < 5.2.5: Затронуто

    Нет опубликованного исправления

  • parse-server npm

    Затронутые диапазоны версий
    • SEMVER: < 4.10.14

    Обновитесь до 4.10.14

  • parse-server npm

    Затронутые диапазоны версий
    • SEMVER: ≥ 5.0.0, < 5.2.5

    Обновитесь до 5.2.5

Первоисточники

Проверьте свой сервер →