CVE-2023-41058
Açıklama
Parse Server açık kaynaklı bir arka uç sunucusudur. Etkilenen sürümlerde, `Parse.Query`'nin belirli koşullarında Parse Cloud tetikleyicisi olan `beforeFind` çağrılmamaktadır. Bu durum, `beforeFind` tetikleyicisinin gelen sorguyu değiştirmek için bir güvenlik katmanı olarak kullanıldığı dağıtımlar için bir güvenlik açığı oluşturabilir. Güvenlik açığı, daha kısa bir kod yapısı için dahili sorgu hattının yeniden yapılandırılması ve `beforeFind` tetikleyicisinin çağrıldığından emin olmak için bir yamanın uygulanmasıyla giderilmiştir. Bu düzeltme `be4c7e23c6` commit'i ile getirilmiş olup 6.2.2 ve 5.5.5 sürümlerine dahil edilmiştir. Kullanıcıların yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar; Cloud Code tetikleyicilerindeki özel güvenlik katmanları yerine kullanılması gereken Sınıf Düzeyinde İzinler (Class-Level Permissions) ve Nesne Düzeyinde Erişim Kontrolü (Object-Level Access Control) ile erişim seviyelerini yönetmek için Parse Server'ın güvenlik katmanlarından yararlanmalıdır.
Nasıl düzeltilir
- parseplatform parse-server5.5.5, 6.2.2 ya da sonraki bir sürüm
- parse-server5.5.5, 6.2.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse-server | v < 5.5.5, 6.0.0 ≤ v < 6.2.2 | 5.5.5, 6.2.2 |
| parse-servernpm | 1.0.0 ≤ v < 5.5.5, 6.0.0 ≤ v < 6.2.2 | 5.5.5, 6.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.