CVE-2026-33627 in parse-server
요약
\~에 의해 VulDB • 2026. 05. 20.
Parse Server는 Node.js를 실행할 수 있는 모든 인프라에 배포할 수 있는 오픈 소스 백엔드입니다. 버전 8.6.61 및 9.6.0-alpha.55 이전 버전에서는 인증된 사용자가 GET /users/me를 호출할 때 MFA TOTP 시크릿 및 복구 코드와 같은 민감한 자격 증명을 포함하는 비정제(auth) 데이터를 받게 됩니다. 해당 엔드포인트는 세션 쿼리에 대해 내부적으로 마스터 레벨 인증을 사용하며, 마스터 컨텍스트가 사용자 데이터로 누출되어 인증 어댑터의 정제(sanitization) 우회가 발생합니다. 공격자가 사용자의 세션 토큰을 획득하면 무제한으로 유효한 TOTP 코드를 생성하기 위해 MFA 시크릿을 추출할 수 있습니다. 이 문제는 버전 8.6.61 및 9.6.0-alpha.55에서 패치되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.