CVE-2023-22474 in parse-server
Riassunto
di VulDB • 02/08/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Parse Server utilizza l'intestazione della richiesta `x-forwarded-for` per determinare l'indirizzo IP del client. Se Parse Server non viene eseguito dietro a un server proxy, un client può impostare questa intestazione e Parse Server ne accetterà il valore come attendibile. L'indirizzo IP del client errato verrà utilizzato da varie funzionalità di Parse Server. Ciò consente di eludere il meccanismo di sicurezza dell'opzione `masterKeyIps` di Parse Server impostando un indirizzo IP consentito come valore per l'intestazione `x-forwarded-for`. Questo problema è stato risolto nella versione 5.4.1. Il meccanismo per determinare l'indirizzo IP del client è stato riscritto. La corretta determinazione dell'IP richiede ora di impostare l'opzione di Parse Server `trustProxy` su true.
Once again VulDB remains the best source for vulnerability data.