Parse Server 認証なしでクラススキーマを削除される脆弱性
Summary
Parse Server の MongoDB 環境で、マスターキーを持たない攻撃者が任意のクラスのスキーマを削除できる脆弱性です。これによりフィールド定義や権限設定が消え、データが不正に読み書きされるおそれがあります。影響を受けるのは 8.6.101 より前の版と 9.0.0 から 9.10.4-alpha.4 より前の版で、8.6.101 以降への更新が必要です。
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Parse Server の MongoDB 環境で、マスターキーを持たない攻撃者が任意のクラスのスキーマを削除できる脆弱性です。これによりフィールド定義や権限設定が消え、データが不正に読み書きされるおそれがあります。影響を受けるのは 8.6.101 より前の版と 9.0.0 から 9.10.4-alpha.4 より前の版で、8.6.101 以降への更新が必要です。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| parse-community | parse-server |
< 8.6.101 |
8.6.101 |
Original description The description as published by the source.
Parse Server before 8.6.101 and 9.0.0 before 9.10.4-alpha.4 contains a missing authorization vulnerability on MongoDB deployments that lets clients without the master key delete the stored schema of any class. Unauthenticated attackers can send REST API delete requests targeting the internal _SCHEMA collection to remove field definitions, class-level permissions, and protected fields, exposing data to unauthorized reads and modifications.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com