Musard Balliu

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 5.3.3 Versões do Parse Server anteriores à 4.10.20 **Descrição** Um endpoint de destino do Webhook do Parse Server Cloud Code comprometido permite que um invasor use a técnica de “prototype pollution” para contornar a opção `requestKeywordDenylist` do Parse Server. Esta vulnerabilidade afeta o Parse Server, um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. **Recomendações** Para versões anteriores à 5.3.3, atualize para a versão 5.3.3 ou posterior. Para versões anteriores à 4.10.20, atualize para a versão 4.10.20 ou posterior. Como solução alternativa temporária, considere restringir o acesso ao endpoint de destino do Cloud Code Webhook até que um patch seja aplicado.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.19 Versões do Parse Server anteriores à 5.3.2 **Descrição** A vulnerabilidade permite que palavras-chave especificadas na opção `requestKeywordDenylist` sejam injetadas por meio de Webhooks ou Triggers do Cloud Code, fazendo com que a palavra-chave seja salva no banco de dados e contorne a opção `requestKeywordDenylist`. Isso pode ser explorado por meio de solicitações à API do Cloud Code Webhooks. Para mitigar isso, pode ser útil configurar o firewall para permitir que apenas servidores confiáveis façam solicitações à API do Parse Server Cloud Code Webhooks ou bloquear completamente a API se ela não estiver em uso. **Recomendações** Para versões anteriores à 4.10.19, atualize para a versão 4.10.19 ou posterior. Para versões anteriores à 5.3.2, atualize para a versão 5.3.2 ou posterior. Como solução alternativa temporária, considere configurar seu firewall para permitir que apenas servidores confiáveis façam solicitações à API Parse Server Cloud Code Webhooks ou bloquear a API completamente se você não estiver usando o recurso.

**Nome do software vulnerável e versões afetadas** Versões do Parse Server anteriores à 4.10.18 Versões do Parse Server anteriores à 5.3.1 na ramificação 5.X **Descrição** O Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura capaz de executar o Node.js. Um invasor pode usar um protótipo de poluição de sink para acionar a execução remota de código por meio do analisador BSON do MongoDB. Esta vulnerabilidade foi corrigida nas versões 5.3.1 e 4.10.18. **Recomendações** Para versões anteriores à 4.10.18, atualize para a versão 4.10.18 ou posterior. Para versões anteriores à 5.3.1 na ramificação 5.X, atualize para a versão 5.3.1 ou posterior. Como solução alternativa temporária, considere desativar a execução remota de código por meio do analisador BSON do MongoDB até que uma correção esteja disponível.