Parse Server被曝光存在远程代码执行漏洞

Parse Server 是一个开源的 http web 服务器后端，安全研究人员最近曝光了新的研究成果，在 4.10.7 之前的版本中，Parse Server 中存在远程代码执行 (RCE) 漏洞。此漏洞影响 MongoDB 默认配置中的 Parse Server。相关漏洞已被 NLST 收录，漏洞编号CVE-2022-24760，此前 GitHub 已提前将此次漏洞评定为10分严重等级。导致 RCE 的主要弱点是 `DatabaseController.js` 文件中的 Prototype Pollution 易受攻击的代码，因此它很可能会影响 Postgres 和任何其他数据库后端。此漏洞已在 Linux (Ubuntu) 和 Windows 上得到确认。