Mtrezza

Existe um problema de divulgação de informações no qual as respostas de criação ou atualização marcam campos como excluídos com base em valores armazenados que o chamador não tem permissão para ler. Isso permite que invasores com acesso de escrita, mas sem acesso de leitura a um objeto, inspecionem esses marcadores para inferir se campos protegidos estão definidos.

Existe um problema onde os formatos de endereço de e-mail do usuário são validados usando uma expressão regular que não possui limite de comprimento e apresenta crescimento de tempo de execução quadrático em relação ao comprimento da entrada. Um invasor não autenticado que conheça o ID do aplicativo pode enviar uma solicitação de cadastro, ou um usuário autenticado pode atualizar seu e-mail, utilizando um endereço de e-mail longo especialmente criado. Esta ação bloqueia o loop de eventos do Node.js, resultando em negação de serviço para todos os clientes.

Existe um problema onde o servidor retorna valores de campos em respostas de criação de objetos para usuários que não possuem acesso de leitura ao objeto criado por meio de permissões de nível de classe ou da Lista de Controle de Acesso (ACL) do objeto. Um usuário com permissões de criação pode explorar isso para obter valores estabelecidos por padrões de esquema, a ACL padrão da classe ou gatilhos do Cloud Code.

Ocorre poluição de protótipo (prototype pollution) ao construir objetos para gatilhos de Cloud Code e LiveQuery. Isso acontece quando uma chave em notação de ponto, cujo segmento intermediário é resolvido por meio de um membro herdado, escreve em um elemento integrado (built-in) de todo o processo. Um cliente com acesso de escrita a um objeto em uma classe com um gatilho ou LiveQuery pode corromper uma função integrada, fazendo com que solicitações não relacionadas falhem até que ocorra a reinicialização, negando o serviço a todos os clientes e aplicações hospedadas.

Ao ser utilizado com MongoDB, o software ignora a validação do tipo de campo para chaves de notação de ponto com valor nulo. Isso permite que subdocumentos sejam gravados abaixo de campos definidos como Pointer, Number, String, Date ou Boolean. Clientes com acesso de gravação, incluindo usuários não autenticados quando gravações públicas são permitidas, podem corromper valores de campos, tornar objetos ilegíveis por meio de campos de data internos ou interromper operações atômicas em campos numéricos.

Ocorre um erro de serialização durante a atualização de um objeto quando uma chave de notação de ponto visa o identificador de objeto de um campo de ponteiro em uma classe que utiliza um gatilho `afterSave()`. Essa falha permite que invasores, incluindo clientes não autenticados em cenários onde os objetos são graváveis sem uma sessão, provoquem a interrupção (crash) do processo Node.

Existe uma falha de bypass de autorização no endpoint de upgrade de sessão. O sistema cria uma nova sessão para qualquer token de sessão válido sem aplicar a permissão de nível de classe de criação da classe ` Session`. Um invasor que possua o token de sessão de um usuário pode enviar um token revogável para o endpoint '/upgradeToRevocableSession' para obter sessões adicionais com novas datas de expiração. Essas sessões permanecem ativas mesmo após o encerramento da sessão original.

Valores de campos armazenados são retornados em respostas de atualização de objetos sem a verificação de acesso de leitura. Isso permite que clientes com permissões de nível de classe ou Listas de Controle de Acesso (ACLs) de objeto que permitem atualizações, mas restringem a leitura, visualizem dados do objeto. Isso pode ser explorado para ler resultados de operações atômicas como `Increment`, `Add`, `AddUnique` e `Remove`, bem como valores definidos por gatilhos de Cloud Code. Sob certas condições, o uso de chaves de notação de ponto pode permitir a recuperação de todo o campo pai armazenado.

A poluição de protótipo ocorre porque chaves controladas pelo usuário são expandidas em objetos sem verificações de propriedade própria. Clientes com acesso de escrita de classe podem enviar chaves de campo em notação de ponto ou nomes de entrada de ACL que correspondam a membros de objetos integrados para corromper funções integradas. Isso pode levar a uma negação de serviço onde todas as solicitações falham até que o servidor seja reiniciado.

Existe uma falha de autorização onde as atualizações de ` Installation` endereçadas por ID de objeto são aplicadas à instalação especificada no cabeçalho `X-Parse-Installation-Id`. Se a configuração `protectedFieldsTriggerExempt` estiver habilitada, um invasor que conheça o ID de objeto de outra instalação pode forçar um gatilho `beforeSave()` a processar os campos protegidos dessa instalação durante uma operação de gravação em outro local.

Existe um problema de divulgação de informações onde clientes podem receber valores de campos protegidos gravados por gatilhos `beforeSave` usando chaves de notação de ponto. Isso ocorre quando `protectedFieldsSaveResponseExempt` está definido como false, permitindo que clientes com permissões de criação ou atualização leiam valores gravados por um gatilho abaixo de um campo protegido na mesma requisição.

Existe um problema onde o servidor retorna o valor armazenado de um campo que foi revertido por um gatilho `beforeSave` em respostas de atualização de objeto. Isso ocorre mesmo que o cliente não tenha acesso de leitura ao objeto ou ao campo específico. Um cliente autenticado pode explorar isso ao atualizar um objeto onde o gatilho `beforeSave` reverte um campo usando `revert()` ou um validador constante: true. Isso permite que o cliente leia valores protegidos, como o `authData` bruto de MFA de sua própria conta quando o `protectedFieldsTriggerExempt` está habilitado.

Existe um problema onde o software manipula incorretamente chaves de notação de ponto com valores nulos ou indefinidos durante a construção do objeto salvo. Isso faz com que uma operação de gravação seja armazenada no banco de dados, mas retorne um erro, ignorando os gatilhos afterSave e eventos LiveQuery. Um cliente com acesso de gravação pode explorar esse comportamento para evadir logs de auditoria, notificações e atualizações de dados derivados.

A validação insuficiente da referência do objeto proprietário em consultas de relação `$relatedTo` permite que um usuário ignore a verificação de Lista de Controle de Acesso (ACL) do objeto proprietário ao fornecer um operador de consulta em vez de um ID de objeto. Isso permite que um cliente com acesso de leitura a pelo menos um objeto da classe proprietária descubra quais objetos legíveis estão vinculados a objetos proprietários que ele não tem permissão para ler.

Existe uma falha de bypass de autenticação porque os métodos `validateSetUp()`, `validateLogin()` e `validateUpdate()` de adaptadores personalizados que herdam de `AuthAdapter` nunca são chamados. Em vez disso, é utilizado um padrão herdado que aceita qualquer `authData`. Isso permite que atacantes forneçam `authData` arbitrários para se cadastrar, vincular identidades, fazer login como usuários existentes ou ignorar fatores de autenticação adicionais personalizados.

Existe um problema de divulgação de informações no LiveQuery. O hash de assinatura omite restrições próximas a um operador `$or`, incluindo o filtro de proprietário ` Session` e restrições `beforeSubscribe`, fazendo com que assinaturas distintas sejam agrupadas. Consequentemente, clientes autenticados que utilizam consultas `$or` podem receber eventos de outros usuários, incluindo tokens de sessão utilizáveis para personificação.

O Parse Server não rejeita nomes de campos internos reservados em gravações de objetos de clientes, permitindo que clientes armazenem ou limpem campos internos. Isso pode ser explorado para gravar um campo reservado que faz com que as leituras de um objeto falhem no MongoDB, interrompendo consultas nessa classe para todos os usuários. Além disso, invasores podem limpar seu próprio histórico de senhas e estado de bloqueio de conta para ignorar políticas de senha e mecanismos de bloqueio.

Em implantações MongoDB, um problema de falta de autorização permite que clientes sem a chave mestre excluam o esquema armazenado de qualquer classe. Atacantes não autenticados podem enviar solicitações de exclusão de API REST direcionadas à coleção interna ` SCHEMA` para remover definições de campos, permissões de nível de classe e campos protegidos, expondo dados a leituras e modificações não autorizadas.

Ao emitir um código de verificação de autenticação de múltiplos fatores (MFA) via SMS, o sistema salva a solicitação de login completa usando privilégios de mestre. Isso permite que um usuário inscrito em MFA de SMS inclua campos adicionais na solicitação para modificar campos restritos em sua própria conta, como a flag de verificação de e-mail ou valores protegidos por `beforeSave()`.

Ocorre a aplicação insuficiente de permissões de nível de classe para a classe ` Session` durante a criação de sessões. Um usuário autenticado ou qualquer entidade que possua um token de sessão válido pode ignorar as permissões `create` e `addField` enviando requisições POST para os endpoints '/sessions' ou '/classes/ Session'. Isso permite a criação de sessões adicionais para o usuário e a adição de campos à classe ` Session`. Essas sessões não autorizadas permanecem ativas mesmo após o encerramento da sessão original.