Podatności Parse Server

Parse Server przed wersjami 8.6.66 i 9.7.0-alpha.10 nie respektuje opcji serwera allowOrigin w API GraphQL, zezwalając na żądania cross-origin z dowolnej strony. REST API poprawnie egzekwuje to ograniczenie.

Parse Server przed wersjami 8.6.65 i 9.7.0-alpha.9 ma lukę w LiveQuery. Gdy wielu klientów subskrybuje tę samą klasę, współdzielone obiekty modyfikowane przez filtry danych wrażliwych mogą powodować wyciek chronionych pól lub danych uwierzytelniających do nieuprawnionych klientów. Ponadto modyfikacje z triggera afterEvent Cloud Code mogą wyciekać do innych subskrybentów.

W Parse Server przed wersjami 8.6.64 i 9.7.0-alpha.8, atakujący posiadający ważny token dostawcy uwierzytelniania oraz jeden kod odzyskiwania MFA lub jednorazowe hasło SMS może utworzyć wiele uwierzytelnionych sesji poprzez wysyłanie równoczesnych żądań logowania do endpointu authData. Obejmuje to gwarancję jednorazowości kodów MFA, umożliwiając utrzymanie sesji nawet po odwołaniu wykrytych sesji przez uprawnionego użytkownika.

Parse Server przed wersjami 8.6.1 i 9.1.0-alpha.3 ma podatność Reflected Cross-Site Scripting (XSS) w stronach HTML resetowania hasła i weryfikacji e-mail. Łatka dostępna w wersjach 8.6.1 i 9.1.0-alpha.3 escapuje wartości kontrolowane przez użytkownika.