Tóm tắt nhanh
- CVE-2024-47183 là lỗ hổng mức CAO (CVSS 8.1) ảnh hưởng parse-server (parseplatform), parse-server.
- Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.42%, cao hơn 36.0% các lỗ hổng khác.
- Cách xử lý: cập nhật lên 7.3.0, 6.5.9 hoặc mới hơn.
| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|
| parse-server | ≥ 7.0.0, < 7.3.0< 6.5.9
| 7.3.06.5.9
|
| parse-server npm | ≥ 7.0.0, < 7.3.0< 6.5.9
| 7.3.06.5.9
|
Mô tả
Impact
If the Parse Server option allowCustomObjectId: true is set, an attacker that is allowed to create a new user can set a custom object ID for that new user that exploits the vulnerability and acquires privileges of a specific role.
Patches
Improved validation for custom user object IDs. Session tokens for existing users with an object ID that exploits the vulnerability are now rejected.
Workarounds
- Disable custom object IDs by setting
allowCustomObjectId: false or not setting the option which defaults to false.
- Use a Cloud Code Trigger to validate that a new user's object ID doesn't start with the prefix
role:.
References
Mô tả của NVD
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. If the Parse Server option allowCustomObjectId: true is set, an attacker that is allowed to create a new user can set a custom object ID for that new user that exploits the vulnerability and acquires privileges of a specific role. This vulnerability is fixed in 6.5.9 and 7.3.0.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí