ZDI-CAN-19105: Parse Server literalizeRegexPart SQL Injection

緊急 10.0CVE-2024-27298 · BIT-parse-2024-27298 · GHSA-6927-3vr9-fxf2 · 01/03/2024 公開 · 17/06/2026 更新

要点

CVE-2024-27298 は parse-server (parseplatform), parse-server に影響する深刻度「緊急」 (CVSS 10.0) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.0%（全脆弱性の 63.7% より高い）。
対処：6.5.0, 7.0.0-alpha.20 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
parse-server parseplatform	`= 6.5.0= 7.0.0< 6.5.0`	`6.5.0`
parse-server npm	`≥ 7.0.0-alpha.1, < 7.0.0-alpha.20< 6.5.0`	`7.0.0-alpha.206.5.0`

概要

Impact

This vulnerability allows SQL injection when Parse Server is configured to use the PostgreSQL database.

Patches

The algorithm to detect SQL injection has been improved.

Workarounds

None.

References

https://github.com/parse-community/parse-server/security/advisories/GHSA-6927-3vr9-fxf2
https://github.com/parse-community/parse-server/releases/tag/6.5.0 (fixed in Parse Server 6)
https://github.com/parse-community/parse-server/releases/tag/7.0.0-alpha.20 (fixed in Parse Server 7 alpha release)

Credits

Mikhail Shcherbakov (https://twitter.com/yu5k3) working with Trend Micro Zero Day Initiative (finder)
Ehsan Persania (remediation developer)
Manuel Trezza (coordinator)

NVD の説明

parse-server is a Parse Server for Node.js / Express. This vulnerability allows SQL injection when Parse Server is configured to use the PostgreSQL database. The vulnerability has been fixed in 6.5.0 and 7.0.0-alpha.20.

参考情報

parse-community/parse-server security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2024-27298 · ADVISORY
parse-community/parse-server commit a6e6549 · WEB
parse-community/parse-server commit cbefe77 · WEB
parse-community/parse-server · PACKAGE
parse-community/parse-server release 6.5.0 · WEB
parse-community/parse-server release 7.0.0-alpha.20 · WEB

parse-server のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

parse-server

parseplatform

= 6.5.0= 7.0.0< 6.5.0

6.5.0