CVE-2022-31112
CVE-2022-31112 · Protected fields exposed via LiveQuery in parse-server
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. In affected versions parse Server LiveQuery does not remove protected fields in classes, passing them to the client. The LiveQueryController now removes protected fields from the client response. Users are advised to upgrade. Users unable t upgrade should use `Parse.Cloud.afterLiveQueryEvent` to manually remove protected fields.
CVSS 8.2 · Hoch · EPSS 1,3% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
parse-server
- Softwareversionen
- < 4.10.13: Betroffen
- >= 5.0.0, < 5.2.4: Betroffen
Keine Korrektur veröffentlicht
parse-server npm
- Betroffene Versionsbereiche
- SEMVER: < 4.10.13
Auf 4.10.13 aktualisieren
parse-server npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 5.0.0, < 5.2.4
Auf 5.2.4 aktualisieren
Originalquellen
- https://github.com/parse-community/parse-server/security/advisories/GHSA-crrq-vr9j-fxxh
- https://github.com/parse-community/parse-server/issues/8073
- https://github.com/parse-community/parse-server/pull/8074
- https://github.com/parse-community/parse-server/commit/309f64ced8700321df056fb3cc97f15007a00df1
- https://github.com/parse-community/parse-server/commit/9fd4516cde5c742f9f29dd05468b4a43a85639a6
- https://github.com/parse-community/parse-server/releases/tag/5.2.4
- https://nvd.nist.gov/vuln/detail/CVE-2022-31112