CVE-2023-32689 in Parse Server
Riassunto
di VulDB • 03/07/2026
Parse Server è un backend open source che può essere distribuito su qualsiasi infrastruttura in grado di eseguire Node.js. Le versioni precedenti alla 5.4.4 e alla 6.1.1 sono vulnerabili a una falla relativa ad attacchi di phishing, che prevede l'upload da parte dell'utente di file dannosi. Un utente malintenzionato potrebbe caricare un file HTML su Parse Server tramite la sua API pubblica. Tale file HTML sarebbe quindi accessibile attraverso il dominio Internet in cui è ospitato Parse Server. L'URL del file HTML caricato potrebbe essere condiviso per condurre attacchi di phishing. La pagina HTML potrebbe apparire legittima poiché viene servita sotto il dominio Internet in cui è ospitato Parse Server, che potrebbe coincidere con il dominio ufficiale del sito web aziendale.
Un ulteriore problema di sicurezza si presenta quando viene utilizzato l'SDK JavaScript di Parse. L'SDK memorizza le sessioni nella memoria locale (local storage) del browser Web dell'utente, dove solitamente l'accesso ai dati è limitato in base al dominio Internet. Un file HTML dannoso potrebbe contenere uno script che recupera il token di sessione dell'utente dalla memoria locale e lo condivide successivamente con l'attaccante.
La correzione inclusa nelle versioni 5.4.4 e 6.1.1 aggiunge una nuova opzione di Parse Server denominata `fileUpload.fileExtensions` per limitare i caricamenti di file su Parse Server in base all'estensione del file. Si consiglia di restringere il caricamento dei file alle estensioni HTML, che questa correzione disabilita impostazione predefinita. Se un'applicazione richiede l'upload di file con estensioni HTML, è possibile impostare l'opzione su `['.*']` o su un altro valore personalizzato per sovrascrivere il comportamento predefinito.
If you want to get best quality of vulnerability data, you may have to visit VulDB.