CVE-2023-32689 in Parse Server
Sumário
de VulDB • 01/07/2026
O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar Node.js. As versões anteriores à 5.4.4 e à 6.1.1 são vulneráveis a uma falha de segurança relacionada a ataques de phishing, envolvendo o upload de arquivos maliciosos por parte do usuário. Um usuário mal-intencionado poderia carregar um arquivo HTML no Parse Server por meio de sua API pública. Esse arquivo HTML ficaria então acessível no domínio da internet em que o Parse Server está hospedado. A URL desse HTML carregada pode ser compartilhada para ataques de phishing. A página HTML pode parecer legítima, pois é servida sob o domínio da internet onde o Parse Server está hospedado, podendo ser o mesmo domínio do site oficial de uma empresa.
Uma questão adicional de segurança surge quando a SDK JavaScript do Parse é utilizada. A SDK armazena sessões no armazenamento local (local storage) do navegador da internet, o que geralmente restringe o acesso aos dados com base no domínio da internet. Um arquivo HTML malicioso poderia conter um script que recupera o token de sessão do usuário do armazenamento local e o compartilha em seguida com o atacante.
A correção incluída nas versões 5.4.4 e 6.1.1 adiciona uma nova opção ao Parse Server, `fileUpload.fileExtensions`, para restringir uploads de arquivos no Parse Server por extensão de arquivo. Recomenda-se restringir os uploads de extensões de arquivo HTML, o que esta correção desativa por padrão. Se um aplicativo exigir upload de arquivos com extensões HTML, a opção pode ser definida como `['.*']` ou outro valor personalizado para substituir o padrão.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.