Mtrezza

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.66 Parse Server versions prior to 9.7.0-alpha.10 **Description** Parse Server, an open source backend deployable on Node.js infrastructures, has an issue where the GraphQL API endpoint does not enforce the `allowOrigin` server option, unconditionally allowing cross-origin requests from any website. This bypasses origin restrictions configured by operators to control website interactions with the Parse Server API. The REST API correctly enforces the configured `allowOrigin` restriction. The issue affects the ''/graphql'' API endpoint. **Recommendations** Upgrade to Parse Server version 8.6.66 or later. Upgrade to Parse Server version 9.7.0-alpha.10 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.65 Parse Server versions prior to 9.7.0-alpha.9 **Description** Parse Server, an open source backend deployable on Node.js infrastructures, is affected by an issue where sensitive data can leak to unauthorized clients or incomplete data can be received by authorized clients when multiple clients subscribe to the same class via LiveQuery. This occurs because event handlers process subscribers concurrently using shared mutable objects, and the sensitive data filter modifies these objects in-place. Additionally, modifications from one subscriber's afterEvent Cloud Code trigger can leak to other subscribers through the same shared mutable state. Any deployment utilizing LiveQuery with protected fields or afterEvent triggers is potentially affected. **Recommendations** Parse Server versions prior to 8.6.65 should be updated to version 8.6.65 or later. Parse Server versions prior to 9.7.0-alpha.9 should be updated to version 9.7.0-alpha.9 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.61 Parse Server versions prior to 9.6.0-alpha.55 **Description** Parse Server is an open source backend deployable on Node.js infrastructures. An authenticated user calling the `GET /users/me` API endpoint receives unsanitized authentication data, which includes sensitive credentials like MFA TOTP secrets and recovery codes. The endpoint utilizes master-level authentication for session queries, and this master context leaks into user data, circumventing auth adapter sanitization. An attacker with a user's session token can extract MFA secrets and generate valid TOTP codes indefinitely. **Recommendations** Update to Parse Server version 8.6.61 or later. Update to Parse Server version 9.6.0-alpha.55 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.59 Parse Server versions prior to 9.6.0-alpha.53 **Description** Parse Server, an open source backend deployable on Node.js infrastructure, contains a flaw where an attacker possessing master key access can execute arbitrary SQL statements on a PostgreSQL database. This is achieved by injecting SQL metacharacters into field name parameters within the aggregate `$group` pipeline stage or the `distinct` operation. Successful exploitation allows for privilege escalation, granting the attacker PostgreSQL database-level access from their existing Parse Server application-level administrator privileges. Deployments utilizing MongoDB are not impacted by this issue. The vulnerability stems from insufficient validation of field names in the aggregate `$group. id` object values and `distinct` dot-notation parameters, allowing for SQL injection through the `:raw` interpolation used in the PostgreSQL storage adapter. **Recommendations** Upgrade to Parse Server version 8.6.59 or later. Upgrade to Parse Server version 9.6.0-alpha.53 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.58 Parse Server versions prior to 9.6.0-alpha.52 **Description** An unauthenticated attacker can cause a denial of service by sending authentication requests with arbitrary, unconfigured provider names. The server executes a database query for each unconfigured provider before rejecting the request. Because no database index exists for unconfigured providers, each request triggers a full collection scan on the user database, which can be parallelized to saturate database resources. **Recommendations** Upgrade to Parse Server version 8.6.58 or later. Upgrade to Parse Server version 9.6.0-alpha.52 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 9.6.0-alpha.35 Parse Server versions prior to 8.6.50 **Description** Parse Server is an open source backend deployable on Node.js infrastructures. When a `Parse.Cloud.afterLiveQueryEvent` trigger is registered for a class, the LiveQuery server unintentionally exposes protected fields and `authData` to all subscribers of that class. Class-Level Permissions (`protectedFields`) are not correctly enforced in LiveQuery event payloads for create, update, delete, enter, and leave events. Users with appropriate permissions can access sensitive data of other users, including personal information and OAuth tokens. This issue stems from a reference detachment bug where a JSON copy of the event object is created without the sensitive data filter applied. The fix ensures the filter operates on the data sent to clients. **Recommendations** For versions prior to 9.6.0-alpha.35, remove all `Parse.Cloud.afterLiveQueryEvent` trigger registrations. For versions prior to 8.6.50, remove all `Parse.Cloud.afterLiveQueryEvent` trigger registrations.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 9.6.0-alpha.21 and 8.6.45 **Description** Parse Server is an open source backend deployable on Node.js infrastructures. An unauthenticated attacker can disrupt service by sending a request containing deeply nested query condition operators, causing the Parse Server process to terminate and denying service to connected clients. The issue is addressed by adding a depth limit for query condition operator nesting via the `requestComplexity.queryDepth` server option, which is disabled by default. **Recommendations** Parse Server versions prior to 9.6.0-alpha.21 should be upgraded to version 9.6.0-alpha.21 or later. Parse Server versions prior to 8.6.45 should be upgraded to version 8.6.45 or later. After upgrading, enable the `requestComplexity.queryDepth` server option and set it to a value appropriate for your application.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Parse Server anteriores a 9.5.2-alpha.2 Versões do Parse Server anteriores a 8.6.15 **Descrição** O Parse Server, um backend de código aberto implantável em infraestruturas Node.js, está suscetível à exaustão de recursos. Um atacante não autenticado pode explorar a falta de limites de complexidade nas APIs REST e GraphQL para consumir recursos do servidor, como CPU, memória e conexões de banco de dados, por meio de consultas elaboradas. Todas as implantações que utilizam a API REST ou GraphQL estão potencialmente afetadas. **Recomendações** Atualize para a versão 9.5.2-alpha.2 ou posterior do Parse Server. Atualize para a versão 8.6.15 ou posterior do Parse Server.

**Name of the Vulnerable Software and Affected Versions** Parse Dashboard versions 7.3.0-alpha.42 through 9.0.0-alpha.7 **Description** The `ConfigKeyCache` component within Parse Dashboard incorrectly utilizes the same cache key for both master key and read-only master key when resolving function-typed keys. This can lead to a read-only user gaining access to the full master key, or a regular user receiving the cached read-only master key under specific timing conditions. To mitigate this, avoid using function-typed master keys or remove the `agent` configuration block from your dashboard configuration. **Recommendations** Update to version 9.0.0-alpha.8 or later. Avoid using function-typed master keys. Remove the `agent` configuration block from your dashboard configuration.

**Name of the Vulnerable Software and Affected Versions** Parse Dashboard versions 7.3.0-alpha.42 through 9.0.0-alpha.7 **Description** The Parse Dashboard AI Agent API endpoint (`POST /apps/:appId/agent`) does not have Cross-Site Request Forgery (CSRF) protection. An attacker can create a malicious webpage that, when visited by an authenticated dashboard user, submits requests to the agent endpoint using the victim’s session. The fix in version 9.0.0-alpha.8 adds CSRF middleware to the agent endpoint and embeds a CSRF token in the dashboard page. **Recommendations** Versions 7.3.0-alpha.42 through 9.0.0-alpha.7: Remove the `agent` configuration block from your dashboard configuration.

Nome do Software Vulnerável e Versões Afetadas: Versões do Parse Server de 5.3.0 a 7.5.3 Versão 8.2.2 do Parse Server Descrição: A API GraphQL do Parse Server permitia acesso público ao esquema GraphQL sem exigir um token de sessão ou a chave mestra nas versões de 5.3.0 a 7.5.3 e 8.2.2. A introspecção do esquema revela metadados, o que pode expandir a superfície de ataque potencial. Recomendações: Atualize para a versão 7.5.3 ou posterior do Parse Server. Atualize para a versão 8.2.2 ou posterior do Parse Server.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 6.5.5 Versões do Parse Server anteriores à 7.0.0-alpha.29 **Descrição** O Parse Server, um backend de código aberto para Node.js, é afetado por uma falha na qual a chamada de um nome inválido de Cloud Function ou Cloud Job pode causar a falha do servidor. Isso pode potencialmente levar à injeção de código, manipulação do armazenamento interno ou execução remota de código. A exploração requer o uso do método `startJob` com parâmetros controláveis externamente. A correção nas versões 6.5.5 e 7.0.0-alpha.29 adiciona sanitização de strings para nomes de Cloud Function e Cloud Job. **Recomendações** Para versões anteriores à 6.5.5, sanitize o nome da Cloud Function e o nome do Cloud Job antes que eles cheguem ao Parse Server. Para versões anteriores à 7.0.0-alpha.29, sanitize o nome da Cloud Function e o nome do Cloud Job antes que eles cheguem ao Parse Server.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 5.4.4 and 6.1.1 **Description** The issue involves a phishing attack vulnerability where a malicious user can upload an HTML file to Parse Server via its public API. This uploaded HTML file can then be accessed at the internet domain where Parse Server is hosted, potentially making it seem legitimate as it is served under the same domain as a company's official website. An additional security concern arises when using the Parse JavaScript SDK, which stores sessions in the browser's local storage. A malicious HTML file could contain a script to retrieve the user's session token from local storage and share it with the attacker. **Recommendations** For versions prior to 5.4.4 and 6.1.1, update to version 5.4.4 or 6.1.1 to include the fix that adds a new Parse Server option `fileUpload.fileExtensions` to restrict file upload by file extension. It is recommended to restrict file upload for HTML file extensions, which this fix disables by default. If an app requires upload of files with HTML file extensions, the option can be set to `['.*']` or another custom value to override the default. As a temporary workaround, consider restricting access to the public API to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** parse-server-push-adapter versions prior to 4.1.3 **Description** The Parse Server Push Adapter can crash Parse Server due to an invalid push notification payload. **Recommendations** For versions prior to 4.1.3, update to version 4.1.3 to resolve the issue. As a temporary workaround, consider implementing input validation to prevent invalid push notification payloads from crashing the server.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 5.4.1 **Description** The issue arises from Parse Server's use of the request header `x-forwarded-for` to determine the client IP address. If Parse Server is not running behind a proxy server, a client can set this header, allowing Parse Server to trust its value. This leads to the use of an incorrect client IP address by various features in Parse Server, which can be exploited to circumvent the security mechanism of the Parse Server option `masterKeyIps`. This is done by setting an allowed IP address as the `x-forwarded-for` header value. **Recommendations** For versions prior to 5.4.1, update to version 5.4.1 or later, where the mechanism to determine the client IP address has been rewritten to require setting the Parse Server option `trustProxy` for correct IP address determination. As a temporary workaround, consider setting the `trustProxy` option accordingly to minimize the risk of exploitation.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.15 Versões do Parse Server de 5.0.0 a 5.2.5 **Descrição** Um usuário pode gravar no objeto de sessão de outro usuário se o ID do objeto de sessão for conhecido. Por exemplo, um invasor pode atribuir o objeto de sessão ao seu próprio usuário gravando no campo `user` e, em seguida, ler quaisquer campos personalizados desse objeto de sessão. Observe que atribuir uma sessão a outro usuário geralmente não altera os privilégios de nenhum dos dois usuários, e um usuário não pode atribuir sua própria sessão a outro usuário. Embora seja improvável que o ID do objeto de sessão de outro usuário seja conhecido, é possível adivinhar um ID de objeto por força bruta. **Recomendações** Para versões do Parse Server anteriores à 4.10.15, atualize para a versão 4.10.15 ou superior. Para versões do Parse Server de 5.0.0 a 5.2.5, atualize para a versão 5.2.6 ou superior. Como solução alternativa temporária para versões sem patch, adicione um gatilho `beforeSave` à classe ` Session` e impeça a gravação se o usuário solicitante for diferente do usuário no objeto de sessão.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.16 Versões do Parse Server de 5.0.0 a 5.2.6 **Descrição** O problema diz respeito à validação do ID do aplicativo do adaptador de autenticação para o Facebook e o Spotify. Em configurações afetadas, nas quais `appIds` é definido como uma string em vez de uma matriz de strings, um invasor pode autenticar solicitações de um aplicativo com um ID de aplicativo diferente daquele especificado na configuração `appIds`. Isso pode ocorrer se o invasor receber do provedor de autenticação um ID de aplicativo que seja um subconjunto do ID de aplicativo configurado no lado do servidor. Tanto o adaptador do Facebook quanto o do Spotify continuam validando o token de acesso com o respectivo provedor de autenticação. **Recomendações** Para versões do Parse Server anteriores à 4.10.16, atualize para a versão 4.10.16 ou posterior. Para versões do Parse Server de 5.0.0 a 5.2.6, atualize para a versão 5.2.7 ou posterior. Como solução alternativa temporária, considere definir `appIds` como uma matriz de strings em vez de uma string para evitar exploração. Restrinja o acesso ao adaptador de autenticação para o Facebook e o Spotify para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.14 Versões do Parse Server anteriores à 5.2.5 **Descrição** Campos internos (chaves utilizadas internamente pelo Parse Server, precedidas pelo prefixo ` `) e campos protegidos (definidos pelo usuário) podem ser utilizados como restrições de consulta. Esses campos são removidos pelo Parse Server e só são retornados ao cliente usando uma chave mestra válida. No entanto, usando restrições de consulta, esses campos podem ser adivinhados por enumeração até que o Parse Server retorne um objeto de resposta. A vulnerabilidade pode ser explorada usando o objeto `query. where` para adivinhar campos internos e protegidos. **Recomendações** Para versões anteriores à 4.10.14, atualize para a versão 4.10.14 ou posterior. Para versões anteriores à 5.2.5, atualize para a versão 5.2.5 ou posterior. Como solução alternativa temporária, implemente um Parse Cloud Trigger `beforeFind` e remova manualmente as restrições de consulta, como excluir chaves que começam com ` ` do objeto `query. where`.

**Nome do software vulnerável e versões afetadas** Parse Server (versões afetadas não especificadas) **Descrição** O problema diz respeito ao Parse Server LiveQuery, que, nas versões afetadas, não remove campos protegidos nas classes, passando-os para o cliente. Isso foi corrigido pelo LiveQueryController, que agora remove os campos protegidos da resposta enviada ao cliente. Recomenda-se que os usuários atualizem o software para resolver o problema. Para aqueles que não puderem atualizar, recomenda-se usar `Parse.Cloud.afterLiveQueryEvent` para remover manualmente os campos protegidos como solução alternativa. **Recomendações** Para resolver o problema, os usuários devem atualizar para uma versão em que o LiveQueryController remova os campos protegidos da resposta do cliente. Como solução alternativa temporária, considere usar `Parse.Cloud.afterLiveQueryEvent` para remover manualmente os campos protegidos até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.12 Versões do Parse Server anteriores à 5.2.3 **Descrição** O problema decorre do tratamento inadequado de certos tipos de solicitações de arquivos inválidos, o que pode causar a falha do servidor. O impacto na disponibilidade pode ser baixo se várias instâncias do Parse Server estiverem em execução em um cluster, mas pode ser alto se o Parse Server estiver em execução como uma única instância sem redundância. **Recomendações** Para versões anteriores à 4.10.12, atualize para a versão 4.10.12 ou posterior. Para versões anteriores à 5.2.3, atualize para a versão 5.2.3 ou posterior. Como não há soluções alternativas conhecidas para este problema, a atualização para as versões especificadas é a ação recomendada.