Vulnerabilidad en los campos protegidos en las clases en Parse Server (CVE-2022-31112)
Gravedad CVSS v3.1:
ALTA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
30/06/2022
Última modificación:
24/07/2023
Descripción
Parse Server es un backend de código abierto que puede ser desplegado en cualquier infraestructura que pueda ejecutar Node.js. En versiones afectadas, Parse Server LiveQuery no elimina los campos protegidos en las clases, pasándolos al cliente. El LiveQueryController ahora elimina los campos protegidos de la respuesta del cliente. Es recomendado a usuarios actualizar. Los usuarios que no puedan actualizar deberán usar "Parse.Cloud.afterLiveQueryEvent" para eliminar manualmente los campos protegidos
Impacto
Puntuación base 3.x
8.20
Gravedad 3.x
ALTA
Puntuación base 2.0
6.40
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:parseplatform:parse-server:*:*:*:*:*:node.js:*:* | 4.10.13 (excluyendo) | |
| cpe:2.3:a:parseplatform:parse-server:*:*:*:*:*:node.js:*:* | 5.0.0 (incluyendo) | 5.2.4 (excluyendo) |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- https://github.com/parse-community/parse-server/commit/309f64ced8700321df056fb3cc97f15007a00df1
- https://github.com/parse-community/parse-server/commit/9fd4516cde5c742f9f29dd05468b4a43a85639a6
- https://github.com/parse-community/parse-server/issues/8073
- https://github.com/parse-community/parse-server/pull/8074
- https://github.com/parse-community/parse-server/releases/tag/5.2.4
- https://github.com/parse-community/parse-server/security/advisories/GHSA-crrq-vr9j-fxxh