CVE-2023-32689 in Parse Server
Сводка
по VulDB • 03.07.2026
Parse Server — это серверная часть с открытым исходным кодом, которую можно развернуть в любой инфраструктуре, поддерживающей Node.js. Версии старше 5.4.4 и 6.1.1 уязвимы к фишинговой атаке, связанной с загрузкой пользователем вредоносных файлов. Злоумышленник может загрузить HTML-файл на Parse Server через его общедоступный API. Этот HTML-файл затем становится доступным по интернет-домену, на котором размещен Parse Server. URL загруженного HTML можно использовать для фишинговых атак. Страница HTML может выглядеть легитимно, поскольку она обслуживается в рамках того же интернет-домена, где находится хостинг Parse Server, который может совпадать с доменом официального веб-сайта компании.
Дополнительная проблема безопасности возникает при использовании JavaScript SDK для Parse. SDK хранит сеансы в локальном хранилище браузера, которое обычно ограничивает доступ к данным в зависимости от интернет-домена. Вредоносный HTML-файл может содержать скрипт, который извлекает токен пользовательского сеанса из локального хранилища и передает его злоумышленнику.
Исправление, включенное в версии 5.4.4 и 6.1.1, добавляет новую опцию Parse Server `fileUpload.fileExtensions` для ограничения загрузки файлов на сервере по расширению файла. Рекомендуется ограничивать загрузку HTML-файлов; это исправление отключает такие файлы по умолчанию. Если приложению требуется возможность загрузки файлов с расширениями HTML, параметр можно установить в значение `['.*']` или другое пользовательское значение для переопределения настроек по умолчанию.
If you want to get best quality of vulnerability data, you may have to visit VulDB.