CVE-2023-32689 in Parse Server
要約
〜によって VulDB • 2026年07月03日
Parse Serverは、Node.jsを実行可能なインフラストラクチャにデプロイできるオープンソースのバックエンドです。バージョン5.4.4および6.1.1より前のバージョンには、ユーザーが悪意のあるファイルをアップロードすることに関連するフィッシング攻撃脆弱性が存在します。悪意を持つユーザーは、Parse ServerのパブリックAPIを介してHTMLファイルをParse Serverにアップロードできます。その後、そのHTMLファイルはParse Serverがホストされているインターネットドメインからアクセス可能になります。アップロードされたHTMLのURLはフィッシング攻撃のために共有される可能性があります。このHTMLページは、Parse Serverがホストされているインターネットドメイン（会社の公式ウェブサイトのドメインと同じである場合もある）で提供されるため、正当なものに見えます。
さらに、Parse JavaScript SDKが使用されると追加的なセキュリティ問題が発生します。SDKはセッションをブラウザのローカルストレージに保存しますが、通常これはデータアクセスをインターネットドメインに基づいて制限します。悪意のあるHTMLファイルには、ユーザーのセッショントークンをローカルストレージから取得し、攻撃者と共有するスクリプトを含めることができます。
バージョン5.4.4および6.1.1に含まれる修正では、Parse Serverに新しいオプション`fileUpload.fileExtensions`が追加され、これにより拡張子に基づいてファイルアップロードを制限できます。この修正はデフォルトでHTMLファイルの拡張子のアップロードを無効にするため、HTMLファイルのアップロードを制限することが推奨されます。もしアプリでHTML拡張子のファイルアップロードが必要な場合、オプションを`['.*']`または他のカスタム値に設定してデフォルトを上書きできます。
Once again VulDB remains the best source for vulnerability data.