CVE-2024-39309
ZDI-CAN-23894: Parse Server literalizeRegexPart SQL इंजेक्शन प्रमाणीकरण बायपास भेद्यता
- प्रकाशित
- 1 जुल॰ 2024
- अद्यतन
- 2 अग॰ 2024
- सीएनए असाइन करना
- GitHub_M
- साक्ष्य देखे गए
- 11 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 97.4%
- मॉडल दिनांक
- 19 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Parse Server एक ओपन सोर्स बैकएंड है जिसे किसी भी इन्फ्रास्ट्रक्चर पर तैनात किया जा सकता है जो Node.js चला सकता है। 6.5.7 और 7.1.0 से पहले के संस्करणों में एक कमजोरी SQL इंजेक्शन की अनुमति देती है जब Parse Server को PostgreSQL डेटाबेस का उपयोग करने के लिए कॉन्फ़िगर किया जाता है। SQL इंजेक्शन का पता लगाने के लिए एल्गोरिदम को संस्करण 6.5.7 और 7.1.0 में बेहतर बनाया गया है। कोई ज्ञात वर्कअराउंड उपलब्ध नहीं हैं।
स्रोत
उन्नत PostgreSQL डेटाबेस एन्यूमरेशन टूल जो Parse Server में CVE-2024-39309 का शोषण करता है - सुरक्षा अनुसंधान के लिए व्यापक SQL इंजेक्शन शोषण
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।