【严重】Parse Server SQL 注入漏洞-Happy峰

一、漏洞概述

Parse Server 是一个用于构建移动应用程序和Web应用程序开源框架。
受影响版本中，当 Parse Server 使用 PostgreSQL 数据库时，Parse Server 中的 literalizeRegexPart 函数在处理 PostgreSQL 查询时未能正确处理特殊字符和正则表达式转义字符\，导致 SQL 注入漏洞。
修复版本中，通过改进转义逻辑并处理所有特殊字符以修复漏洞。公开时间： 2024/07/02
CVE编号： CVE-2024-39309
漏洞类型：使用候选路径或通道进行的认证绕过
漏洞等级：严重
利用可能性：中
攻击向量：网络
攻击成本：中
影响范围：
有无PoC/EXP：无
情报来源： OSCS社区

影响组件：

1.parse-server@(-∞, 6.5.7)
2.parse-server@[7.0.0, 7.1.0)

排查方式：

1.获取 parse-server 版本，判断其版本在[*, 6.5.7)、[7.0.0, 7.1.0)范围内

修复方案：

1.将组件 parse-server 升级至 6.5.7 及以上版本
2.将组件 parse-server 升级至 7.1.0 及以上版本

参考链接：

1.https://www.oscs1024.com/hd/MPS-saer-duhp
2.https://github.com/advisories/GHSA-c2hr-cqg6-8j6r
3.https://github.com/parse-community/parse-server/pull/9168/commits/e455fde16ead236b7f00c02219943fbd1621a6fa
4.https://github.com/parse-community/parse-server/pull/9167
5.https://nvd.nist.gov/vuln/detail/CVE-2024-39309

文章版权声明 1、本网站名称：Happy峰安全运营
2、本站永久网址：https://blog.chenjiangfeng.com
3、本站发布、转载的文章中所涉及的技术、思路和工具仅供以安全为目的的学习交流使用，任何人不得将其用于非法用途及盈利等目的，否则后果自行承担！
4、本网站的文章部分内容可能来源于网络，仅供大家学习与参考，如有侵权，请联系站长进行删除处理。
5、本站一切资源不代表本站立场，并不代表本站赞同其观点和对其真实性负责。
6、本站一律禁止以任何方式发布或转载任何违法的相关信息，访客发现请向站长举报
7、根据《计算机软件保护条例》第十七条，本站所有软件请仅用于学习研究用途

本站所有内容（包括但不限于文字、图片、视频等）均受到版权法保护，归作者所有，未经授权不得转载、复制或用于其他任何商业目的。转载请注明出处，并保留原文链接。对于未经授权的使用，我们将保留追究法律责任的权利。

THE END