CVE-2023-32689 in Parse Server
Resumen
por VulDB • 2026-05-19
Parse Server es un backend de código abierto que se puede implementar en cualquier infraestructura que pueda ejecutar Node.js. Las versiones anteriores a 5.4.4 y 6.1.1 son vulnerables a una vulnerabilidad de ataque de phishing que implica la carga de archivos maliciosos por parte de un usuario. Un usuario malicioso podría cargar un archivo HTML en Parse Server a través de su API pública. Ese archivo HTML sería entonces accesible en el dominio de Internet en el que se aloja Parse Server. La URL del HTML cargado podría compartirse para ataques de phishing. La página HTML puede parecer legítima porque se sirve bajo el dominio de Internet donde se aloja Parse Server, que podría ser el mismo que el dominio del sitio web oficial de una empresa.
Surge un problema de seguridad adicional cuando se utiliza el SDK de JavaScript de Parse. El SDK almacena las sesiones en el almacenamiento local del navegador de Internet, lo que generalmente restringe el acceso a los datos en función del dominio de Internet. Un archivo HTML malicioso podría contener un script que recupere el token de sesión del usuario del almacenamiento local y luego lo comparta con el atacante.
La corrección incluida en las versiones 5.4.4 y 6.1.1 añade una nueva opción de Parse Server `fileUpload.fileExtensions` para restringir la carga de archivos en Parse Server por extensión de archivo. Se recomienda restringir la carga de archivos para extensiones de archivo HTML, lo que esta corrección deshabilita de forma predeterminada. Si una aplicación requiere la carga de archivos con extensiones de archivo HTML, la opción se puede establecer en `['.*']` u otro valor personalizado para anular el valor predeterminado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.