CVE-2022-39231
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 4.10.16 öncesi sürümlerde veya 5.0.0 ile 5.2.6 arasındaki sürümlerde, Facebook ve Spotify için kimlik doğrulama adaptörü uygulama kimliği doğrulaması atlatılabilir. Kullanıcıların, `appIds` değerinin dize dizisi yerine tek bir dize olarak ayarlandığı Parse Server kimlik doğrulama adaptörünü kullanarak kimlik doğrulamasına izin veren yapılandırmalar, `appIds` yapılandırmasında belirtilenden farklı bir uygulama kimliğine sahip uygulamalardan gelen isteklerin kimlik doğrulamasını gerçekleştirir. Bu güvenlik açığının istismar edilebilmesi için saldırganın, kimlik doğrulama sağlayıcısı tarafından sunucu tarafında yapılandırılan uygulama kimliğinin alt kümesi olan bir uygulama kimliğine atanmış olması gerekir. Bu sorun 4.10.16 ve 5.2.7 sürümlerinde düzeltilmiştir. Bilinen bir geçici çözüm yoktur.
Nasıl düzeltilir
- parseplatform parse-server4.10.16, 5.2.7 ya da sonraki bir sürüm
- parse-server4.10.16, 5.2.7 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 4.10.16, 5.0.0 ≤ v < 5.2.7 | 4.10.16, 5.2.7 |
| parse-servernpm | v < 4.10.16, 5.0.0 ≤ v < 5.2.7 | 4.10.16, 5.2.7 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.