PT-2021-23094 · Unknown · Parse Server

Dblythy · Publicado 2021-09-30 · Atualizado 2024-03-06 · CVE-2021-41109

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Parse Server anteriores à 4.10.4

Descrição

O problema diz respeito à exposição de tokens de sessão em cargas de dados do LiveQuery para usuários com uma assinatura do LiveQuery na classe Parse.User. Normalmente, os tokens de sessão são removidos das respostas para consultas regulares, mas isso não acontecia com as cargas de dados do LiveQuery antes da correção. Isso significa que todos os tokens de sessão criados durante o cadastro de usuários seriam transmitidos como parte da carga de dados do LiveQuery, comprometendo potencialmente a privacidade do usuário. Um patch na versão 4.10.4 resolve isso removendo os tokens de sessão da carga de dados do LiveQuery.

Recomendações

Para versões anteriores à 4.10.4, atualize para a versão 4.10.4 ou posterior para remover os tokens de sessão das cargas de dados do LiveQuery.

Como solução alternativa temporária para versões anteriores à 4.10.4, defina user.acl(new Parse.ACL()) em um gatilho beforeSave para tornar o usuário privado já no momento do cadastro.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BIT-PARSE-2021-41109

CVE-2021-41109

GHSA-7PR3-P5FM-8R9X

Produtos afetados

Parse Server

Referências · 10

• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/security/advisories/GHSA-7pr3-p5fm-8r9x · Nota
• https://github.com/parse-community/parse-server/releases/tag/4.10.4 · Nota
• https://github.com/parse-community/parse-server/commit/4ac4b7f71002ed4fbedbb901db1f6ed1e9ac5559 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2021-41109 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-7pr3-p5fm-8r9x · Aviso do Fabricante
• https://t.me/cibsecurity/29722 · Publicação no Telegram
• https://t.me/cvenotify/22131 · Publicação no Telegram
• https://osv.dev/vulnerability/BIT-parse-2021-41109 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-41109 · Aviso do Fabricante