Parse Server SQL 注入漏洞

漏洞描述

Parse Server 是一个用于构建移动应用程序和Web应用程序开源框架。

受影响版本中，当 Parse Server 使用 PostgreSQL 数据库时，Parse Server 中的 literalizeRegexPart 函数在处理 PostgreSQL 查询时未能正确处理特殊字符和正则表达式转义字符\，导致 SQL 注入漏洞。

修复版本中，通过改进转义逻辑并处理所有特殊字符以修复漏洞。

漏洞名称	Parse Server SQL 注入漏洞
漏洞类型	使用候选路径或通道进行的认证绕过
发现时间	2024-07-02
漏洞影响广度	-
MPS编号	MPS-saer-duhp
CVE编号	CVE-2024-39309
CNVD编号	-

影响范围

parse-server@(-∞, 6.5.7)

parse-server@[7.0.0, 7.1.0)

修复方案

将组件 parse-server 升级至 6.5.7 及以上版本

将组件 parse-server 升级至 7.1.0 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-saer-duhp

https://github.com/advisories/GHSA-c2hr-cqg6-8j6r

https://github.com/parse-community/parse-server/pull/9168/commits/e455fde16ead236b7f00c02219943fbd1621a6fa

https://github.com/parse-community/parse-server/pull/9167

https://nvd.nist.gov/vuln/detail/CVE-2024-39309

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc