CVE-2023-32689 in Parse Server
요약
\~에 의해 VulDB • 2026. 07. 03.
Parse Server는 Node.js를 실행할 수 있는 모든 인프라에 배포할 수 있는 오픈 소스 백엔드입니다. 버전 5.4.4 및 6.1.1 이전은 사용자가 악성 파일을 업로드하는 것과 관련된 피싱 공격 취약점에 대해 취약합니다. 악의적인 사용자는 Parse Server의 공개 API를 통해 HTML 파일을 Parse Server에 업로드할 수 있습니다. 이렇게 업로드된 HTML 파일은 Parse Server가 호스팅되는 인터넷 도메인에서 접근 가능해집니다. 업로드된 HTML의 URL을 공유하여 피싱 공격에 이용될 수 있습니다. 이 HTML 페이지는 Parse Server가 호스팅되는 인터넷 도메인(회사의 공식 웹사이트 도메인과 동일할 수 있음) 하에서 제공되므로 합법적으로 보일 수 있습니다.
Parse JavaScript SDK를 사용할 경우 추가적인 보안 문제가 발생합니다. SDK는 세션을 브라우저의 로컬 스토리지에 저장하며, 이는 일반적으로 인터넷 도메인에 따라 데이터 접근을 제한합니다. 악성 HTML 파일에는 로컬 스토리지에서 사용자의 세션 토큰을 검색하여 공격자와 공유하는 스크립트가 포함될 수 있습니다.
버전 5.4.4 및 6.1.1에 포함된 수정 사항에서는 `fileUpload.fileExtensions`라는 새로운 Parse Server 옵션을 추가하여 파일 확장자에 따라 Parse Server의 파일 업로드를 제한합니다. HTML 파일 확장자에 대한 파일 업로드를 제한하는 것이 권장되며, 이 수정 사항은 이를 기본값으로 비활성화합니다. 앱에서 HTML 파일 확장자를 가진 파일의 업로드가 필요한 경우, 해당 옵션을 `['.*']` 또는 다른 사용자 지정 값으로 설정하여 기본값을 재정의할 수 있습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.