PT-2022-20537 · Unknown · Parse Server

Mtrezza · Publicado 2022-06-30 · Atualizado 2024-03-06 · CVE-2022-31112

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N

Nome do software vulnerável e versões afetadas

Parse Server (versões afetadas não especificadas)

Descrição

O problema diz respeito ao Parse Server LiveQuery, que, nas versões afetadas, não remove campos protegidos nas classes, passando-os para o cliente. Isso foi corrigido pelo LiveQueryController, que agora remove os campos protegidos da resposta enviada ao cliente. Recomenda-se que os usuários atualizem o software para resolver o problema. Para aqueles que não puderem atualizar, recomenda-se usar Parse.Cloud.afterLiveQueryEvent para remover manualmente os campos protegidos como solução alternativa.

Recomendações

Para resolver o problema, os usuários devem atualizar para uma versão em que o LiveQueryController remova os campos protegidos da resposta do cliente.

Como solução alternativa temporária, considere usar Parse.Cloud.afterLiveQueryEvent para remover manualmente os campos protegidos até que um patch seja aplicado.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-212

CWE-200

Identificadores relacionados

BIT-PARSE-2022-31112

CVE-2022-31112

GHSA-CRRQ-VR9J-FXXH

Produtos afetados

Parse Server

Referências · 16

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/31xxx/CVE-2022-31112.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/commit/309f64ced8700321df056fb3cc97f15007a00df1 · Correção
• https://github.com/parse-community/parse-server/issues/8073 · Correção
• https://github.com/parse-community/parse-server/pull/8074 · Correção
• https://github.com/parse-community/parse-server/releases/tag/5.2.4 · Nota
• https://github.com/parse-community/parse-server/commit/9fd4516cde5c742f9f29dd05468b4a43a85639a6 · Correção
• https://github.com/parse-community/parse-server/security/advisories/GHSA-crrq-vr9j-fxxh · Nota
• https://github.com/parse-community/parse-server/commit/054f3e6ab01d66a0dcfb77725af28eac1485b375 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-31112 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-parse-2022-31112 · Aviso do Fabricante
• https://t.me/cibsecurity/45418 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-31112 · Aviso do Fabricante
• https://t.me/cvenotify/32898 · Publicação no Telegram
• https://t.me/cvenotify/32437 · Publicação no Telegram