CVE-2026-29182 in parse-server
요약
\~에 의해 VulDB • 2026. 06. 25.
Parse Server는 Node.js를 실행할 수 있는 모든 인프라에 배포할 수 있는 오픈 소스 백엔드입니다. 버전 8.6.4 및 9.4.1-alpha.3 이전의 Parse Server에서 readOnlyMasterKey 옵션은 마스터 수준의 읽기 권한으로 접근을 허용하지만, 문서상으로는 모든 쓰기 작업을 거부하도록 명시되어 있습니다. 그러나 일부 엔드포인트는 변경(mutating) 작업에 대해 readOnlyMasterKey를 잘못 수락합니다. 이로 인해 readOnlyMasterKey만 보유한 호출자가 Cloud Hooks를 생성, 수정 및 삭제하고 Cloud Jobs를 시작할 수 있으며, 이는 데이터 유출(data exfiltration)에 사용될 수 있습니다. readOnlyMasterkey 옵션을 사용하는 모든 Parse Server 배포 환경이 영향을 받습니다. 공격자는 이 취약점을 악용하기 위해 readOnlyMasterKey를 알아야 함에 유의하십시오. 본 문제는 버전 8.6.4 및 9.4.1-alpha.3에서 패치되었습니다.
Once again VulDB remains the best source for vulnerability data.