PT-2022-26110 · Unknown · Parse Server

Cristian-Alexandru Staicu + 2 · Publicado 2022-11-09 · Atualizado 2026-03-10 · CVE-2022-41878

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Parse Server anteriores à 4.10.19

Versões do Parse Server anteriores à 5.3.2

Descrição

A vulnerabilidade permite que palavras-chave especificadas na opção requestKeywordDenylist sejam injetadas por meio de Webhooks ou Triggers do Cloud Code, fazendo com que a palavra-chave seja salva no banco de dados e contorne a opção requestKeywordDenylist. Isso pode ser explorado por meio de solicitações à API do Cloud Code Webhooks. Para mitigar isso, pode ser útil configurar o firewall para permitir que apenas servidores confiáveis façam solicitações à API do Parse Server Cloud Code Webhooks ou bloquear completamente a API se ela não estiver em uso.

Recomendações

Para versões anteriores à 4.10.19, atualize para a versão 4.10.19 ou posterior.

Para versões anteriores à 5.3.2, atualize para a versão 5.3.2 ou posterior.

Como solução alternativa temporária, considere configurar seu firewall para permitir que apenas servidores confiáveis façam solicitações à API Parse Server Cloud Code Webhooks ou bloquear a API completamente se você não estiver usando o recurso.

Exploit

Correção

Special Elements Injection

Prototype Pollution

Enumeração de Fraquezas

CWE-74

CWE-1321

Identificadores relacionados

BIT-PARSE-2022-41878

CVE-2022-41878

GHSA-XPRV-WVH7-QQQX

ZDI-22-1591

Produtos afetados

Parse Server

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41878.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/commit/6728da1e3591db1e27031d335d64d8f25546a06f · Nota
• https://github.com/parse-community/parse-server/pull/8302 · Nota
• https://github.com/parse-community/parse-server/security/advisories/GHSA-xprv-wvh7-qqqx · Nota
• https://github.com/parse-community/parse-server/commit/0a2d412e265992d53a670011afd9d2578562adc3 · Nota
• https://github.com/parse-community/parse-server/pull/8301 · Nota
• https://osv.dev/vulnerability/GHSA-xprv-wvh7-qqqx · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-41878 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-parse-2022-41878 · Aviso do Fabricante
• https://zerodayinitiative.com/advisories/ZDI-22-1591 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-41878 · Aviso do Fabricante
• https://twitter.com/dailycve/status/2031216347149943057 · Publicação no Twitter