PT-2020-21570 · Parse · Parse Server+1

Publicado

2020-07-23

·

Atualizado

2020-07-23

Nenhuma

Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Parse SDK versão 2.9.1
Parse Server versão 3.9.0
Descrição
O problema decorre do método setPassword, que armazena a senha do usuário no localStorage como texto simples, tornando-a acessível a qualquer pessoa com acesso ao localStorage. Isso contradiz a documentação, que afirma que as senhas nunca são armazenadas em texto simples. A senha é armazenada como uma propriedade chamada “password” no localStorage após a chamada do método setPassword e o salvamento das alterações.
Recomendações
Para o Parse SDK versão 2.9.1, considere modificar o método setPassword para remover quaisquer propriedades chamadas password antes de salvar o objeto do usuário no localStorage.
Para o Parse Server versão 3.9.0, certifique-se de que a configuração do servidor não armazene ou transmita senhas em texto simples e revise as implementações do lado do cliente para evitar armazenamento semelhante no localStorage.
Como solução temporária, considere desativar o método setPassword até que um patch esteja disponível para lidar adequadamente com o armazenamento de senhas.
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

GHSA-WVH7-5P38-2QFC

Produtos afetados

Parse Sdk
Parse Server