Tóm tắt nhanh
- CVE-2024-27298 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 10.0) ảnh hưởng parse-server (parseplatform), parse-server.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 1.0%, cao hơn 63.7% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 6.5.0, 7.0.0-alpha.20 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| parse-server | = 6.5.0= 7.0.0< 6.5.0
| 6.5.0
|
| parse-server npm | ≥ 7.0.0-alpha.1, < 7.0.0-alpha.20< 6.5.0
| 7.0.0-alpha.206.5.0
|
Mô tả
Impact
This vulnerability allows SQL injection when Parse Server is configured to use the PostgreSQL database.
Patches
The algorithm to detect SQL injection has been improved.
Workarounds
None.
References
Credits
- Mikhail Shcherbakov (https://twitter.com/yu5k3) working with Trend Micro Zero Day Initiative (finder)
- Ehsan Persania (remediation developer)
- Manuel Trezza (coordinator)
Mô tả của NVD
parse-server is a Parse Server for Node.js / Express. This vulnerability allows SQL injection when Parse Server is configured to use the PostgreSQL database. The vulnerability has been fixed in 6.5.0 and 7.0.0-alpha.20.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí