Parse Server 認証なしでクラススキーマを削除される脆弱性
概要
Parse Server の MongoDB 環境で、マスターキーを持たない攻撃者が任意のクラスのスキーマを削除できる脆弱性です。これによりフィールド定義や権限設定が消え、データが不正に読み書きされるおそれがあります。影響を受けるのは 8.6.101 より前の版と 9.0.0 から 9.10.4-alpha.4 より前の版で、8.6.101 以降への更新が必要です。
AI要約
外部の AI が作成した要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
Parse Server の MongoDB 環境で、マスターキーを持たない攻撃者が任意のクラスのスキーマを削除できる脆弱性です。これによりフィールド定義や権限設定が消え、データが不正に読み書きされるおそれがあります。影響を受けるのは 8.6.101 より前の版と 9.0.0 から 9.10.4-alpha.4 より前の版で、8.6.101 以降への更新が必要です。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| parse-community | parse-server |
8.6.101 未満 |
8.6.101 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Parse Server before 8.6.101 and 9.0.0 before 9.10.4-alpha.4 contains a missing authorization vulnerability on MongoDB deployments that lets clients without the master key delete the stored schema of any class. Unauthenticated attackers can send REST API delete requests targeting the internal _SCHEMA collection to remove field definitions, class-level permissions, and protected fields, exposing data to unauthorized reads and modifications.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com