CVE-2023-36475

Parse Server przed wersjami 8.6.67 i 9.7.0-alpha.11 zawiera podatność, w której atakujący może ominąć kontrolę dostępu walidatora Cloud Function, dodając "prototype.constructor" do nazwy funkcji w URL. Powoduje to pominięcie całej kontroli dostępu, umożliwiając nieuwierzytelnionym wywołanie funkcji chronionych walidatorami.

Parse Server przed wersjami 8.6.3 i 9.1.1-alpha.4 jest podatny na atak, w którym nieautoryzowany napastnik może sfałszować token uwierzytelniający Google z algorytmem 'alg: "none"', co pozwala na logowanie się jako dowolny użytkownik powiązany z kontem Google bez znajomości jego danych uwierzytelniających.

Parse Server to open source backend, który można wdrożyć na dowolnej infrastrukturze działającej na Node.js. W wersjach przed 8.6.0-alpha.2, przepływ pracy GitHub CI jest wyzwalany w sposób, który przyznaje podwyższone uprawnienia GitHub Actions, dając dostęp do sekretów GitHub i uprawnień zapisu zdefiniowanych w przepływie pracy. Kod z forka lub skrypty cyklu życia mogą być potencjalnie uwzględnione. Dotyczy to tylko infrastruktury CI/CD repozytorium, w tym publicznych forków GitHub z włączonym GitHub Actions. Problem został naprawiony w wersji 8.6.0-alpha.2 oraz commitach 6b9f896 i e3d27fe.

Parse Server przed wersją 8.6.98 oraz 9.0.0 przed 9.10.3-alpha.1 nie wymusza uprawnień na poziomie klasy create i addField dla klasy _Session podczas tworzenia sesji. Uwierzytelniony użytkownik lub osoba posiadająca token sesji może wysłać żądania POST do /sessions lub /classes/_Session, aby utworzyć dodatkowe sesje i dodawać pola do _Session; sesje te nie są unieważniane po wylogowaniu oryginalnej sesji.

W Parse Server przed wersją 8.6.99 i od 9.0.0 przed 9.10.3-alpha.2 podczas aktualizacji użytkownika sprawdzane są warunki dotyczące konta docelowego przed autoryzacją wywołującego, a wynik jest odzwierciedlany w odpowiedzi. Nieautoryzowany wywołujący, z sesją lub bez, może potwierdzić zgadywane nazwy użytkowników lub adresy e-mail, a gdy ustawiono passwordPolicy.maxPasswordHistory lub doNotAllowUsername, także zgadywane bieżące lub poprzednie hasła, omijając blokadę konta.

Parse Server w wersjach przed 8.6.97 oraz 9.0.0 przed 9.10.2-alpha.6 nie obsługuje błędów pojawiających się podczas wysyłania e-maili weryfikacyjnych lub resetowania hasła, co powoduje zakończenie procesu serwera. Klient posiadający jedynie publiczne klucze aplikacji może zarejestrować się, zażądać e-maila weryfikacyjnego lub resetu hasła, gdy dostawca poczty odrzuca wiadomość, ogranicza liczbę żądań lub jest niedostępny, doprowadzając do awarii serwera.

Parse Server w wersji od 5.4.0 do 8.6.96 oraz od 9.0.0 do 9.10.2-alpha.5 współdzieli stan transakcyjny partii między równoczesnymi żądaniami, pozwalając żądaniu transakcyjnemu dowolnego klienta zakłócać zapisy do bazy danych innych klientów. W przypadku PostgreSQL lub zestawów replik i klastrów shardowanych MongoDB potwierdzone zapisy innych klientów są wycofywane, jeśli partia zawiedzie, a transakcje PostgreSQL mogą pozostać otwarte bezterminowo, powodując niepowodzenie kolejnych zapisów.

Parse Server przed wersją 8.6.93 oraz w gałęzi 9.0.0 przed 9.10.1-alpha.13 nie egzekwuje ochrony pól chronionych (authenticated, role lub grupy per-user) na zapytaniach count używających operatora $relatedTo, ujawniając rozmiar chronionych pól Relation. Uwierzytelniony użytkownik, który może odczytać właściciela obiektu, może połączyć liczby z ograniczeniem objectId jako wyrocznię członkostwa, aby ujawnić poufne członkostwa, takie jak prywatne grupy lub listy blokowane.

Podatność w Parse Server umożliwia nieuwierzytelnionym atakującym, posiadającym publiczne Application Id i klucz klienta, odtworzenie zapytania introspection z pamięci podręcznej Apollo Server, aby uzyskać schemat GraphQL, w tym prywatne nazwy klas i pól. Kontrola introspection jest stosowana tylko do bezpośrednio przesyłanych zapytań, nie do tych z pamięci podręcznej.

Parse Server przed wersją 8.6.95 oraz w gałęzi 9.0.0 przed 9.10.2-alpha.3 nie rozwiązuje referencji do plików pozbawionych URL przed przekazaniem obiektów do wyzwalaczy Cloud Code i LiveQuery, co powoduje nieprzechwycony wyjątek i zakończenie procesu. Atakujący, którzy mogą zapisywać do klasy z wyzwalaczami Cloud Code (save, find, delete) lub włączonym LiveQuery, w tym nieuwierzytelnieni użytkownicy, jeśli publiczny zapis lub rejestracja jest dozwolona, mogą zawiesić serwer lub przerwać kolejne żądania.