CVE-2022-41878
Açıklama
Parse Server, Node.js çalıştırabilen herhangi bir altyapıya konuşlandırılabilen açık kaynaklı bir arka uçtur. 5.3.2 veya 4.10.19 öncesindeki sürümlerde, Parse Server seçeneği olan `requestKeywordDenylist` içinde belirtilen anahtar kelimeler, Cloud Code Webhook'ları veya Trigger'lar aracılığıyla enjekte edilebilir. Bu durum, `requestKeywordDenylist` seçeneğinin atlatılarak anahtar kelimenin veritabanına kaydedilmesiyle sonuçlanır. Bu sorun 4.10.19 ve 5.3.2 sürümlerinde düzeltilmiştir. Yükseltme mümkün değilse, aşağıdaki geçici çözümler uygulanabilir: Güvenlik duvarınızı yalnızca güvenilir sunucuların Parse Server Cloud Code Webhooks API'sine istek göndermesine izin verecek şekilde yapılandırın veya bu özelliği kullanmıyorsanız API'yi tamamen engelleyin.
Nasıl düzeltilir
- parseplatform parse-server4.10.19, 5.3.2 ya da sonraki bir sürüm
- parse-server4.10.19, 5.3.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 4.10.19, 5.0.0 ≤ v < 5.3.2 | 4.10.19, 5.3.2 |
| parse-servernpm | v < 4.10.19, 5.0.0 ≤ v < 5.3.2 | 4.10.19, 5.3.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.