CVE-2024-27298
Vulnérabilité critique dans parse-server (parse-community)
CVSS 10.0 · Critique
EPSS 1.0%
parse-community•parse-server•Versions : < 6.5.0, >= 7.0.0-alpha.1, < 7.0.0-alpha.20
Description
parse-server is a Parse Server for Node.js / Express. This vulnerability allows SQL injection when Parse Server is configured to use the PostgreSQL database. The vulnerability has been fixed in 6.5.0 and 7.0.0-alpha.20.
Gravité et risque d'exploitation
CVE-2024-27298 obtient un score CVSS de 10.0/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 1.03 %, ce qui la place devant 63.1 % des CVE référencées.
Que faire ?
- Vérifiez si parse-server (versions < 6.5.0, >= 7.0.0-alpha.1, < 7.0.0-alpha.20) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://github.com/parse-community/parse-server/security/advisories/GHSA-6927-3vr9-fxf2
- https://github.com/parse-community/parse-server/commit/a6e654943536932904a69b51e513507fcf90a504
- https://github.com/parse-community/parse-server/commit/cbefe770a7260b54748a058b8a7389937dc35833
- https://github.com/parse-community/parse-server/releases/tag/6.5.0
- https://github.com/parse-community/parse-server/releases/tag/7.0.0-alpha.20