CVE-2023-36475

O Parse Server é um backend de aplicação em Node.js, e este bug permite que um atacante não autenticado alcance execução remota de código por meio dele: um sink de prototype pollution corrompe os internos de objetos JavaScript, e essa corrupção é carregada para o parser BSON do MongoDB, onde vira execução de código no servidor. Sem login, sem interação do usuário — uma requisição forjada ao backend basta, e o Parse Server fica por baixo de qualquer aplicativo móvel ou web que ele alimenta.

Prototype pollution escalando para RCE é uma classe bem compreendida e altamente valorizada no ecossistema Node, e o Parse Server é um backend de propósito geral, então um comprometimento alcança diretamente o repositório de dados e a lógica da aplicação. RCE não autenticado em um framework de backend implantável é o tipo de descoberta que rapidamente ganha atenção de prova de conceito; as versões corrigidas 5.5.2 e 6.2.1 são a fronteira entre exposto e seguro.

Este é mais um problema de inventário de dependências do que de varredura do perímetro. O Parse Server chega como um pacote npm enterrado em pilhas de aplicação, então nosso trabalho é enumerar onde ele é usado e fixar a versão resolvida em cada implantação, incluindo contêineres e serviços internos. O comunicado é fácil de ler; conhecer todo serviço que embarca parse-server abaixo da 5.5.2 ou 6.2.1 é a parte que de fato encurta a janela de exposição.