CVE-2024-47183
CVE-2024-47183 · Parse Server's custom object ID allows to acquire role privileges
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Parse Server is an open source backend that can be deployed to any infrastructure that can run Node.js. If the Parse Server option allowCustomObjectId: true is set, an attacker that is allowed to create a new user can set a custom object ID for that new user that exploits the vulnerability and acquires privileges of a specific role. This vulnerability is fixed in 6.5.9 and 7.3.0.
CVSS 8.1 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
parse-server
- Softwareversionen
- < 6.5.9: Betroffen
- >= 7.0.0, < 7.3.0: Betroffen
Keine Korrektur veröffentlicht
parse-server npm
- Betroffene Versionsbereiche
- SEMVER: < 6.5.9
Auf 6.5.9 aktualisieren
parse-server npm
- Betroffene Versionsbereiche
- SEMVER: ≥ 7.0.0, < 7.3.0
Auf 7.3.0 aktualisieren
Originalquellen
- https://github.com/parse-community/parse-server/security/advisories/GHSA-8xq9-g7ch-35hg
- https://github.com/parse-community/parse-server/pull/9317
- https://github.com/parse-community/parse-server/pull/9318
- https://github.com/parse-community/parse-server/commit/13ee52f0d19ef3a3524b3d79aea100e587eb3cfc
- https://github.com/parse-community/parse-server/commit/1bfbccf9ee7ea77533b2b2aa7c4c69f3bd35e66f
- https://nvd.nist.gov/vuln/detail/CVE-2024-47183