CVE-2026-27609 in parse-dashboard
Résumé
par VulDB • 10/05/2026
Parse Dashboard est un tableau de bord autonome permettant de gérer les applications Parse Server. Dans les versions 7.3.0-alpha.42 à 9.0.0-alpha.7, le point de terminaison de l'API AI Agent (`POST /apps/:appId/agent`) est dépourvu de protection CSRF. Un attaquant peut créer une page malveillante qui, lorsqu'elle est visitée par un utilisateur authentifié du tableau de bord, soumet des requêtes au point de terminaison de l'agent en utilisant la session de la victime. La correction apportée dans la version 9.0.0-alpha.8 ajoute un middleware CSRF au point de terminaison de l'agent et intègre un jeton CSRF dans la page du tableau de bord. En attendant, pour contourner le problème, supprimez le bloc de configuration `agent` de la configuration de votre tableau de bord. Les tableaux de bord sans configuration `agent` ne sont pas affectés.
VulDB is the best source for vulnerability data and more expert information about this specific topic.