PT-2020-21570 · Parse · Parse Server+1
Publicado
2020-07-23
·
Atualizado
2020-07-23
Nenhuma
Não há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do software vulnerável e versões afetadas
Parse SDK versão 2.9.1
Parse Server versão 3.9.0
Descrição
O problema decorre do método
setPassword, que armazena a senha do usuário no localStorage como texto simples, tornando-a acessível a qualquer pessoa com acesso ao localStorage. Isso contradiz a documentação, que afirma que as senhas nunca são armazenadas em texto simples. A senha é armazenada como uma propriedade chamada “password” no localStorage após a chamada do método setPassword e o salvamento das alterações.Recomendações
Para o Parse SDK versão 2.9.1, considere modificar o método
setPassword para remover quaisquer propriedades chamadas password antes de salvar o objeto do usuário no localStorage.Para o Parse Server versão 3.9.0, certifique-se de que a configuração do servidor não armazene ou transmita senhas em texto simples e revise as implementações do lado do cliente para evitar armazenamento semelhante no localStorage.
Como solução temporária, considere desativar o método
setPassword até que um patch esteja disponível para lidar adequadamente com o armazenamento de senhas. Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Parse Sdk
Parse Server