CVE-2023-22474 in parse-server
Tóm tắt
Bởi VulDB • 07/08/2026
Parse Server là một backend mã nguồn mở có thể được triển khai trên bất kỳ cơ sở hạ tầng nào hỗ trợ Node.js. Parse Server sử dụng tiêu đề yêu cầu `x-forwarded-for` để xác định địa chỉ IP của máy khách (client). Nếu Parse Server không chạy phía sau một proxy server, thì một client có thể đặt tiêu đề này và Parse Server sẽ tin tưởng giá trị của nó. Địa chỉ IP sai của client sẽ được các tính năng khác nhau trong Parse Server sử dụng. Điều này cho phép vượt qua cơ chế bảo mật của tùy chọn `masterKeyIps` trong Parse Server bằng cách thiết lập địa chỉ IP được ủy quyền làm giá trị tiêu đề `x-forwarded-for`. Vấn đề này đã được vá trong phiên bản 5.4.1. Cơ chế xác định địa chỉ IP của client đã được viết lại hoàn toàn. Việc xác định đúng địa chỉ IP hiện yêu cầu phải đặt tùy chọn Parse Server là `trustProxy`.
If you want to get best quality of vulnerability data, you may have to visit VulDB.