Mtrezza

Parse Server versions <= 8.6.87 and >= 9.0.0 < 9.10.1-alpha.7 contain an authentication bypass in the built-in LDAP authentication adapter. The adapter forwarded the client-supplied password to the directory without verifying that a password had been supplied, and treated any non-error response from the directory as proof of authentication. A zero-length credential turns an LDAP simple bind into the unauthenticated authentication mechanism described in RFC 4513 section 5.1.2, which some directories (including Active Directory in its default configuration) answer with success while mapping the connection to anonymous. As a result, an unauthenticated attacker who knows a directory username can obtain a valid session token for that account, resulting in account takeover. Only deployments that enable the LDAP authentication adapter are affected, and deployments whose directory refuses unauthenticated simple bind (such as a stock OpenLDAP configuration) are not exploitable. The issue is fixed in 8.6.88 and 9.10.1-alpha.7, which require the password to be a non-empty string and reject the request before contacting the directory.

**Nome do Software Vulnerável e Versões Afetadas** Parse Server versões 9.0.0 até 9.10.0-alpha.4 Parse Server versões 8.2.2 até 8.6.85 **Descrição** Mensagens de erro de validação GraphQL revelam os nomes de campos de entrada personalizados obrigatórios, mesmo quando a introspecção pública está desativada através da variável `graphQLPublicIntrospection`. Um invasor que possua apenas o ID público do aplicativo pode disparar esses erros para descobrir campos personalizados obrigatórios (não nulos) em classes que já referenciam pelo nome. Este comportamento compromete parcialmente a intenção de ocultar o esquema. Não são expostos dados armazenados, credenciais, nomes de campos opcionais, nomes de classes não referenciadas ou nomes de funções do Cloud Code. **Recomendações** Atualize o Parse Server para a versão 9.10.0-alpha.5 ou posterior. Atualize o Parse Server para a versão 8.6.86 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Parse Server versões 9.0.0 até 9.10.0-alpha.5 Parse Server versões 8.2.2 até 8.6.86 **Descrição** Existe um problema onde nomes de classes de destino de Pointer e Relation são expostos por meio de mensagens de erro de validação e coerção de entrada do GraphQL. Isso ocorre quando a introspecção pública do esquema está desativada através da variável `graphQLPublicIntrospection`. Como esses erros são gerados antes da autenticação, autorização ou execução de resolvers, um cliente não autenticado que possua o ID público do aplicativo pode disparar erros em campos Pointer ou Relation para reconstruir nomes de classes de esquema ocultos. Isso ignora parcialmente as proteções de ocultação de esquema, embora apenas metadados do esquema sejam expostos, sem a divulgação de dados de objetos, credenciais ou registros de usuários. **Recomendações** Atualize o Parse Server para a versão 9.10.0-alpha.6 ou posterior. Atualize o Parse Server para a versão 8.6.87 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Parse Server versões 9.0.0 até 9.10.0-alpha.3 Parse Server versões anteriores a 8.6.85 **Description** Um problema de divulgação de esquema ocorre quando a API GraphQL é configurada com `graphQLPublicIntrospection` definido como `false`. Mensagens de erro geradas durante a coerção de variáveis continuam a fornecer sugestões derivadas do esquema, ignorando o controle de endurecimento de introspecção. Um usuário não autenticado com o id público do aplicativo pode recuperar iterativamente identificadores de esquema ocultos, como nomes de classes e campos do Parse e nomes de funções do Cloud Code registradas, enviando consultas ou mutações com valores de enumeração aproximados ou nomes de campos de objeto de entrada. **Recommendations** Atualize para a versão 9.10.0-alpha.4 ou posterior. Atualize para a versão 8.6.85 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Parse Server versões 9.0.0 até 9.10.0-alpha.1 Parse Server versões 8.x até 8.6.83 **Description** Um problema de cross-site scripting (XSS) armazenado ocorre quando o software não reconhece a extensão de um arquivo enviado através do pacote mime, fazendo com que ele preserve o Content-Type fornecido pelo cliente. Um Content-Type malformado que não segue o formato válido de tipo/subtipo de mídia (por exemplo, 'image', 'image/' ou 'image//svg+xml') pode ignorar a lista de bloqueio `fileUpload.fileExtensions` e ser armazenado sem alterações. Em adaptadores de armazenamento que persistem e servem o Content-Type enviado, como Amazon S3, Google Cloud Storage ou Azure Blob Storage, os navegadores podem não conseguir analisar o valor malformado e realizar o MIME-sniffing. Isso permite que um arquivo cujo corpo comece com HTML seja renderizado como HTML, executando scripts incorporados na origem da aplicação contra outros usuários que abrirem a URL do arquivo. O adaptador de armazenamento padrão GridFS não é afetado. **Recommendations** Atualize para a versão 9.10.0-alpha.2 ou posterior. Atualize para a versão 8.6.84 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.65 Parse Server versions prior to 9.7.0-alpha.9 **Description** Parse Server, an open source backend deployable on Node.js infrastructures, is affected by an issue where sensitive data can leak to unauthorized clients or incomplete data can be received by authorized clients when multiple clients subscribe to the same class via LiveQuery. This occurs because event handlers process subscribers concurrently using shared mutable objects, and the sensitive data filter modifies these objects in-place. Additionally, modifications from one subscriber's afterEvent Cloud Code trigger can leak to other subscribers through the same shared mutable state. Any deployment utilizing LiveQuery with protected fields or afterEvent triggers is potentially affected. **Recommendations** Parse Server versions prior to 8.6.65 should be updated to version 8.6.65 or later. Parse Server versions prior to 9.7.0-alpha.9 should be updated to version 9.7.0-alpha.9 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.66 Parse Server versions prior to 9.7.0-alpha.10 **Description** Parse Server, an open source backend deployable on Node.js infrastructures, has an issue where the GraphQL API endpoint does not enforce the `allowOrigin` server option, unconditionally allowing cross-origin requests from any website. This bypasses origin restrictions configured by operators to control website interactions with the Parse Server API. The REST API correctly enforces the configured `allowOrigin` restriction. The issue affects the ''/graphql'' API endpoint. **Recommendations** Upgrade to Parse Server version 8.6.66 or later. Upgrade to Parse Server version 9.7.0-alpha.10 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.59 Parse Server versions prior to 9.6.0-alpha.53 **Description** Parse Server, an open source backend deployable on Node.js infrastructure, contains a flaw where an attacker possessing master key access can execute arbitrary SQL statements on a PostgreSQL database. This is achieved by injecting SQL metacharacters into field name parameters within the aggregate `$group` pipeline stage or the `distinct` operation. Successful exploitation allows for privilege escalation, granting the attacker PostgreSQL database-level access from their existing Parse Server application-level administrator privileges. Deployments utilizing MongoDB are not impacted by this issue. The vulnerability stems from insufficient validation of field names in the aggregate `$group. id` object values and `distinct` dot-notation parameters, allowing for SQL injection through the `:raw` interpolation used in the PostgreSQL storage adapter. **Recommendations** Upgrade to Parse Server version 8.6.59 or later. Upgrade to Parse Server version 9.6.0-alpha.53 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.61 Parse Server versions prior to 9.6.0-alpha.55 **Description** Parse Server is an open source backend deployable on Node.js infrastructures. An authenticated user calling the `GET /users/me` API endpoint receives unsanitized authentication data, which includes sensitive credentials like MFA TOTP secrets and recovery codes. The endpoint utilizes master-level authentication for session queries, and this master context leaks into user data, circumventing auth adapter sanitization. An attacker with a user's session token can extract MFA secrets and generate valid TOTP codes indefinitely. **Recommendations** Update to Parse Server version 8.6.61 or later. Update to Parse Server version 9.6.0-alpha.55 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 8.6.58 Parse Server versions prior to 9.6.0-alpha.52 **Description** An unauthenticated attacker can cause a denial of service by sending authentication requests with arbitrary, unconfigured provider names. The server executes a database query for each unconfigured provider before rejecting the request. Because no database index exists for unconfigured providers, each request triggers a full collection scan on the user database, which can be parallelized to saturate database resources. **Recommendations** Upgrade to Parse Server version 8.6.58 or later. Upgrade to Parse Server version 9.6.0-alpha.52 or later.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 9.6.0-alpha.35 Parse Server versions prior to 8.6.50 **Description** Parse Server is an open source backend deployable on Node.js infrastructures. When a `Parse.Cloud.afterLiveQueryEvent` trigger is registered for a class, the LiveQuery server unintentionally exposes protected fields and `authData` to all subscribers of that class. Class-Level Permissions (`protectedFields`) are not correctly enforced in LiveQuery event payloads for create, update, delete, enter, and leave events. Users with appropriate permissions can access sensitive data of other users, including personal information and OAuth tokens. This issue stems from a reference detachment bug where a JSON copy of the event object is created without the sensitive data filter applied. The fix ensures the filter operates on the data sent to clients. **Recommendations** For versions prior to 9.6.0-alpha.35, remove all `Parse.Cloud.afterLiveQueryEvent` trigger registrations. For versions prior to 8.6.50, remove all `Parse.Cloud.afterLiveQueryEvent` trigger registrations.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 9.6.0-alpha.21 and 8.6.45 **Description** Parse Server is an open source backend deployable on Node.js infrastructures. An unauthenticated attacker can disrupt service by sending a request containing deeply nested query condition operators, causing the Parse Server process to terminate and denying service to connected clients. The issue is addressed by adding a depth limit for query condition operator nesting via the `requestComplexity.queryDepth` server option, which is disabled by default. **Recommendations** Parse Server versions prior to 9.6.0-alpha.21 should be upgraded to version 9.6.0-alpha.21 or later. Parse Server versions prior to 8.6.45 should be upgraded to version 8.6.45 or later. After upgrading, enable the `requestComplexity.queryDepth` server option and set it to a value appropriate for your application.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Parse Server anteriores a 9.5.2-alpha.2 Versões do Parse Server anteriores a 8.6.15 **Descrição** O Parse Server, um backend de código aberto implantável em infraestruturas Node.js, está suscetível à exaustão de recursos. Um atacante não autenticado pode explorar a falta de limites de complexidade nas APIs REST e GraphQL para consumir recursos do servidor, como CPU, memória e conexões de banco de dados, por meio de consultas elaboradas. Todas as implantações que utilizam a API REST ou GraphQL estão potencialmente afetadas. **Recomendações** Atualize para a versão 9.5.2-alpha.2 ou posterior do Parse Server. Atualize para a versão 8.6.15 ou posterior do Parse Server.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Parse Dashboard de 7.3.0-alpha.42 a 9.0.0-alpha.7 **Descrição** O endpoint da API do Agente de IA do Parse Dashboard (`POST /apps/:appId/agent`) não possui proteção contra Cross-Site Request Forgery (CSRF). Um atacante pode criar uma página web maliciosa que, ao ser visitada por um usuário autenticado do dashboard, envia solicitações para o endpoint do agente usando a sessão da vítima. A correção na versão 9.0.0-alpha.8 adiciona middleware CSRF ao endpoint do agente e incorpora um token CSRF na página do dashboard. **Recomendações** Versões 7.3.0-alpha.42 a 9.0.0-alpha.7: Remova o bloco de configuração `agent` da configuração do seu dashboard.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Parse Dashboard de 7.3.0-alpha.42 a 9.0.0-alpha.7 **Descrição** O componente `ConfigKeyCache` dentro do Parse Dashboard utiliza incorretamente a mesma chave de cache tanto para a chave mestra quanto para a chave mestra somente leitura ao resolver chaves do tipo função. Isso pode resultar em um usuário somente leitura obtendo acesso à chave mestra completa, ou um usuário comum recebendo a chave mestra somente leitura em cache sob condições específicas de temporização. Para mitigar isso, evite usar chaves mestras do tipo função ou remova o bloco de configuração `agent` da configuração do seu dashboard. **Recomendações** Atualize para a versão 9.0.0-alpha.8 ou posterior. Evite usar chaves mestras do tipo função. Remova o bloco de configuração `agent` da configuração do seu dashboard.

Nome do Software Vulnerável e Versões Afetadas: Versões do Parse Server de 5.3.0 a 7.5.3 Versão 8.2.2 do Parse Server Descrição: A API GraphQL do Parse Server permitia acesso público ao esquema GraphQL sem exigir um token de sessão ou a chave mestra nas versões de 5.3.0 a 7.5.3 e 8.2.2. A introspecção do esquema revela metadados, o que pode expandir a superfície de ataque potencial. Recomendações: Atualize para a versão 7.5.3 ou posterior do Parse Server. Atualize para a versão 8.2.2 ou posterior do Parse Server.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 6.5.5 Versões do Parse Server anteriores à 7.0.0-alpha.29 **Descrição** O Parse Server, um backend de código aberto para Node.js, é afetado por uma falha na qual a chamada de um nome inválido de Cloud Function ou Cloud Job pode causar a falha do servidor. Isso pode potencialmente levar à injeção de código, manipulação do armazenamento interno ou execução remota de código. A exploração requer o uso do método `startJob` com parâmetros controláveis externamente. A correção nas versões 6.5.5 e 7.0.0-alpha.29 adiciona sanitização de strings para nomes de Cloud Function e Cloud Job. **Recomendações** Para versões anteriores à 6.5.5, sanitize o nome da Cloud Function e o nome do Cloud Job antes que eles cheguem ao Parse Server. Para versões anteriores à 7.0.0-alpha.29, sanitize o nome da Cloud Function e o nome do Cloud Job antes que eles cheguem ao Parse Server.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 5.4.4 and 6.1.1 **Description** The issue involves a phishing attack vulnerability where a malicious user can upload an HTML file to Parse Server via its public API. This uploaded HTML file can then be accessed at the internet domain where Parse Server is hosted, potentially making it seem legitimate as it is served under the same domain as a company's official website. An additional security concern arises when using the Parse JavaScript SDK, which stores sessions in the browser's local storage. A malicious HTML file could contain a script to retrieve the user's session token from local storage and share it with the attacker. **Recommendations** For versions prior to 5.4.4 and 6.1.1, update to version 5.4.4 or 6.1.1 to include the fix that adds a new Parse Server option `fileUpload.fileExtensions` to restrict file upload by file extension. It is recommended to restrict file upload for HTML file extensions, which this fix disables by default. If an app requires upload of files with HTML file extensions, the option can be set to `['.*']` or another custom value to override the default. As a temporary workaround, consider restricting access to the public API to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** parse-server-push-adapter versions prior to 4.1.3 **Description** The Parse Server Push Adapter can crash Parse Server due to an invalid push notification payload. **Recommendations** For versions prior to 4.1.3, update to version 4.1.3 to resolve the issue. As a temporary workaround, consider implementing input validation to prevent invalid push notification payloads from crashing the server.

**Name of the Vulnerable Software and Affected Versions** Parse Server versions prior to 5.4.1 **Description** The issue arises from Parse Server's use of the request header `x-forwarded-for` to determine the client IP address. If Parse Server is not running behind a proxy server, a client can set this header, allowing Parse Server to trust its value. This leads to the use of an incorrect client IP address by various features in Parse Server, which can be exploited to circumvent the security mechanism of the Parse Server option `masterKeyIps`. This is done by setting an allowed IP address as the `x-forwarded-for` header value. **Recommendations** For versions prior to 5.4.1, update to version 5.4.1 or later, where the mechanism to determine the client IP address has been rewritten to require setting the Parse Server option `trustProxy` for correct IP address determination. As a temporary workaround, consider setting the `trustProxy` option accordingly to minimize the risk of exploitation.