Acinader

**Nome do software vulnerável e versões afetadas** Versões do parser-server anteriores à 4.1.0 **Descrição** A vulnerabilidade permite recuperar todos os objetos de usuário utilizando expressões regulares (regex) na consulta NoSQL, visando especificamente o sessionToken. Isso pode ser feito através do endpoint da API “/parse/users/me”, utilizando uma expressão regular na variável `sessionToken`, como `‘ SessionToken’:{“$regex”:“r:027f”}`. Além disso, vulnerabilidades semelhantes existem nas funcionalidades de verificação de e-mail e solicitação de redefinição de senha, nas quais um invasor pode usar expressões regulares no parâmetro token para verificar uma conta ou redefinir uma senha, por exemplo, acessando o endpoint `http://localhost:1337/parse/apps/kickbox/verify email?token[$regex]=a& username=some@email.com` ou `http://localhost:1337/parse/apps/kickbox/request password reset?token[$regex]=a&username=some@email.com`. Esse método permite a recuperação de contas sem a interação do usuário. **Recomendações** Para versões do parser-server anteriores à 4.1.0, atualize para a versão 4.1.0 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso à funcionalidade de consulta NoSQL e limitar o uso de expressões regulares na variável `sessionToken` até que um patch seja aplicado. Além disso, restrinja o acesso aos endpoints de verificação de e-mail e solicitação de redefinição de senha para minimizar o risco de exploração.

Name of the Vulnerable Software and Affected Versions: parse-server versions prior to 3.6.0 Description: The issue allows for account enumeration. An attacker can guess ids and obtain information about linked accounts or email addresses. This occurs because `ParseError.ACCOUNT ALREADY LINKED(208)` is thrown before the AuthController checks the password, allowing an attacker to deduce the existence of certain accounts. Recommendations: For versions prior to 3.6.0, update to version 3.6.0 or later to resolve the issue. As a temporary workaround, consider restricting access to account linking functionality until the update is applied.

Name of the Vulnerable Software and Affected Versions: parse-server versions prior to 3.4.1 Description: The issue allows for a denial of service (DoS) after any POST request to a volatile class. If a POST request is made to a volatile class, such as "/parse/classes/ Audience", any subsequent POST requests will result in an internal server error (500). Recommendations: For versions prior to 3.4.1, update to version 3.4.1 or later. Additionally, remove the offending collection from the database to fully resolve the issue. As a temporary workaround, consider applying the patch available at https://github.com/parse-community/parse-server/commit/8709daf698ea69b59268cb66f0f7cee75b52daa5.