PT-2024-21803 · Unknown · Postgresql+1

Mikhail Shcherbakov · Publicado 2024-03-01 · Atualizado 2025-12-03 · CVE-2024-27298

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do parse-server anteriores à 6.5.0

Versões do parse-server anteriores à 7.0.0-alpha.20

Descrição

Esta vulnerabilidade permite injeção de SQL quando o parse-server está configurado para usar o banco de dados PostgreSQL. Um invasor remoto poderia enviar instruções SQL especialmente criadas para visualizar, adicionar, modificar ou excluir informações no banco de dados back-end.

Recomendações

Para versões anteriores à 6.5.0, atualize para a versão 6.5.0 ou posterior.

Para versões anteriores à 7.0.0-alpha.20, atualize para a versão 7.0.0-alpha.20 ou posterior.

Como solução temporária, considere restringir o acesso ao banco de dados PostgreSQL até que um patch seja aplicado.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

BIT-PARSE-2024-27298

CVE-2024-27298

GHSA-6927-3VR9-FXF2

ZDI-24-900

Produtos afetados

Postgresql

Parse Server

Referências · 17

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/27xxx/CVE-2024-27298.json · Exploit
• https://github.com/parse-community/parse-server · Nota
• https://github.com/parse-community/parse-server/commit/cbefe770a7260b54748a058b8a7389937dc35833 · Correção
• https://github.com/parse-community/parse-server/security/advisories/GHSA-6927-3vr9-fxf2 · Aviso do Fabricante
• https://github.com/parse-community/parse-server/commit/a6e654943536932904a69b51e513507fcf90a504 · Correção
• https://github.com/parse-community/parse-server/releases/tag/7.0.0-alpha.20 · Nota
• https://github.com/parse-community/parse-server/releases/tag/6.5.0 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-27298 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-parse-2024-27298 · Aviso do Fabricante
• https://t.me/cveNotify/144655 · Publicação no Telegram
• https://twitter.com/CCBalert/status/1765743924109279407 · Publicação no Twitter
• https://zerodayinitiative.com/advisories/ZDI-24-900 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2024-27298 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-6927-3vr9-fxf2 · Aviso do Fabricante
• https://twitter.com/cracbot/status/1764024200124068278 · Publicação no Twitter