parse-server 이메일 검사 정규식으로 서비스 거부 가능 (ReDoS)
앱 뒷단 서버 프로그램이 가입 요청 한 번으로 멈출 수 있습니다.
요약
parse-server의 이메일 형식 검사 정규식 때문에 아주 긴 이메일을 담은 가입 요청 한 번으로 서버가 멈출 수 있습니다. 인증하지 않은 공격자도 애플리케이션 ID만 알면 공격할 수 있으며, 사용자 가입을 허용한 배포가 해당합니다.
해당 조건
- 사용자 가입을 허용한 배포(기본 설정)
대처법
parse-server 9.10.7-alpha.1 또는 8.6.115 이상으로 업데이트하세요. 당장 못 하면 _User 클래스에 254자를 넘는 이메일을 거부하는 Cloud Code beforeSave 트리거를 추가하세요.
내 제품에 맞는 버전 이상으로 업데이트하세요:
- parse-server 9 9.10.7-alpha.1 이상
- parse-server 8 8.6.115 이상
대상 제품과 운영체제
CVE 번호
원문 링크
시각
처음 게시
처음 확인