Vulnerabilidad en Node.js/Express (CVE-2024-27298)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
CWE-89
Neutralización incorrecta de elementos especiales usados en un comando SQL (Inyección SQL)
Fecha de publicación:
01/03/2024
Última modificación:
01/03/2024
Descripción
parse-server es un servidor Parse para Node.js/Express. Esta vulnerabilidad permite la inyección de SQL cuando Parse Server está configurado para utilizar la base de datos PostgreSQL. La vulnerabilidad se solucionó en 6.5.0 y 7.0.0-alpha.20.
Impacto
Puntuación base 3.x
10.00
Gravedad 3.x
CRÍTICA
Referencias a soluciones, herramientas e información
- https://github.com/parse-community/parse-server/commit/a6e654943536932904a69b51e513507fcf90a504
- https://github.com/parse-community/parse-server/commit/cbefe770a7260b54748a058b8a7389937dc35833
- https://github.com/parse-community/parse-server/releases/tag/6.5.0
- https://github.com/parse-community/parse-server/releases/tag/7.0.0-alpha.20
- https://github.com/parse-community/parse-server/security/advisories/GHSA-6927-3vr9-fxf2