CVE-2025-64502 in parse-server
요약
\~에 의해 VulDB • 2026. 05. 30.
Parse Server는 Node.js를 실행할 수 있는 모든 인프라에 배포할 수 있는 오픈 소스 백엔드입니다. MongoDB의 `explain()` 메서드는 인덱스 사용, 컬렉션 스캔 동작, 성능 지표 등 쿼리 실행 계획에 대한 상세 정보를 제공합니다. 버전 8.5.0-alpha.5 이전의 Parse Server는 master key를 요구하지 않고도 모든 클라이언트가 explain 쿼리를 실행할 수 있도록 허용합니다. 이로 인해 데이터베이스 스키마 구조와 필드 이름, 인덱스 구성 및 쿼리 최적화 세부 정보, 쿼리 실행 통계 및 성능 지표, 그리고 데이터베이스 성능을 악용하기 위한 잠재적 공격 벡터가 노출됩니다. 버전 8.5.0-alpha.5에서는 `explain` 쿼리를 master key로 제한할 수 있는 새로운 `databaseOptions.allowPublicExplain` 구성 옵션이 도입되었습니다. 현재 이 옵션의 기본값은 `true`로 설정되어 있으며, 이는 공개 `explain` 기능에 의존하는 프로덕션 시스템에서의 중단 변경(breaking change)을 피하기 위함입니다. 또한 이 옵션이 명시적으로 설정되지 않았거나 `true`로 설정된 경우 보안 경고가 로그에 기록됩니다. 향후 Parse Server의 주요 메ジャー 릴리스에서는 기본값이 `false`로 변경될 예정입니다. 우회 방법으로 master key가 아닌 요청에서 explain 쿼리를 차단하는 미들웨어를 구현하거나, 프로덕션 환경에서 explain 쿼리 사용량을 모니터링하고 알림을 설정하십시오.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.