CVE-2024-39309
CVE-2024-39309 · ZDI-CAN-23894: Parse Server literalizeRegexPart SQL Injection Authentication Bypass Vulnerability
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. A vulnerability in versions prior to 6.5.7 and 7.1.0 allows SQL injection when Parse Server is configured to use the PostgreSQL database. The algorithm to detect SQL injection has been improved in versions 6.5.7 and 7.1.0. No known workarounds are available.
CVSS 9.8 · Критический · EPSS 20,2% · Есть исправление
- Опубликовано
- Обновлено
Стек: node
Затронутые продукты и версии
parse-server
- Версии
- < 6.5.7: Затронуто
- >= 7.0.0, < 7.1.0: Затронуто
Нет опубликованного исправления
parse-server npm
- Затронутые диапазоны версий
- SEMVER: < 6.5.7
Обновитесь до 6.5.7
parse-server npm
- Затронутые диапазоны версий
- SEMVER: ≥ 7.0.0, < 7.1.0
Обновитесь до 7.1.0
Первоисточники
- https://github.com/parse-community/parse-server/security/advisories/GHSA-c2hr-cqg6-8j6r
- https://github.com/parse-community/parse-server/pull/9167
- https://github.com/parse-community/parse-server/pull/9168
- https://github.com/parse-community/parse-server/commit/2edf1e4c0363af01e97a7fbc97694f851b7d1ff3
- https://github.com/parse-community/parse-server/commit/f332d54577608c5ad927255e06d8c694e2e0ff5b
- https://nvd.nist.gov/vuln/detail/CVE-2024-39309