CVE-2023-32689 in Parse Server
Résumé
par VulDB • 01/07/2026
Parse Server est un backend open source qui peut être déployé sur n'importe quelle infrastructure capable d'exécuter Node.js. Les versions antérieures à 5.4.4 et 6.1.1 sont vulnérables à une attaque de phishing impliquant le téléchargement par un utilisateur de fichiers malveillants. Un utilisateur malveillant pourrait télécharger un fichier HTML sur Parse Server via son API publique. Ce fichier HTML serait ensuite accessible sous le domaine Internet où Parse Server est hébergé. L'URL du fichier HTML téléchargée pourrait être partagée dans le cadre d'attaques de phishing. La page HTML peut sembler légitime car elle est servie depuis le domaine Internet sur lequel Parse Server est hébergé, qui peut correspondre au même nom de domaine que celui du site web officiel de l'entreprise.
Un problème de sécurité supplémentaire survient lorsque le SDK JavaScript de Parse est utilisé. Le SDK stocke les sessions dans le stockage local (local storage) du navigateur Web, ce qui restreint généralement l'accès aux données en fonction du domaine Internet. Un fichier HTML malveillant pourrait contenir un script récupérant le jeton de session de l'utilisateur depuis le stockage local pour ensuite le transmettre à l'attaquant.
La correction incluse dans les versions 5.4.4 et 6.1.1 ajoute une nouvelle option Parse Server `fileUpload.fileExtensions` afin de restreindre les téléchargements de fichiers sur Parse Server en fonction de leur extension. Il est recommandé de limiter les téléchargements pour les extensions de fichier HTML, ce que cette correction désactive par défaut. Si une application nécessite le téléchargement de fichiers avec des extensions HTML, l'option peut être définie à `['.*']` ou à une autre valeur personnalisée pour outrepasser la valeur par défaut.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.