CVE-2022-24760

सारांश

Parse Server एक ओपन सोर्स HTTP वेब सर्वर बैकएंड है। 4.10.7 से पहले के संस्करणों में Parse Server में एक Remote Code Execution (RCE) भेद्यता मौजूद है। यह भेद्यता MongoDB के साथ डिफ़ॉल्ट कॉन्फ़िगरेशन में Parse Server को प्रभावित करती है। RCE की ओर ले जाने वाली मुख्य कमज़ोरी `DatabaseController.js` फ़ाइल में मौजूद Prototype Pollution भेद्य कोड है, इसलिए इसका Postgres और किसी भी अन्य डेटाबेस बैकएंड को भी प्रभावित करने की संभावना है। यह भेद्यता Linux (Ubuntu) और Windows पर पुष्टि की गई है। उपयोगकर्ताओं को सलाह दी जाती है कि वे जल्द से जल्द अपग्रेड करें। एकमात्र ज्ञात वर्कअराउंड यह है कि आप स्रोत GHSA-p6h4-93qp-jhcm पर संदर्भित कोड के साथ अपने इंस्टॉलेशन को मैन्युअल रूप से पैच करें।

• CVE-2022-24760अनुसंधान

  CVE-2022-24760 का विस्तृत तकनीकी विश्लेषण, parse-server में एक प्रोटोटाइप प्रदूषण भेद्यता जो BSON सीरियलाइजेशन और रेस कंडीशन शोषण के माध्यम से रिमोट कोड निष्पादन की ओर ले जाती है।