CVE-2026-27608 in parse-dashboard
Riassunto
di VulDB • 16/06/2026
Parse Dashboard è una dashboard standalone per la gestione delle app Parse Server. Nelle versioni 7.3.0-alpha.42 fino a 9.0.0-alpha.7, l'endpoint dell'API AI Agent (`POST /apps/:appId/agent`) non applica l'autorizzazione. Gli utenti autenticati con ambito limitato a specifiche app possono accedere all'endpoint agent di qualsiasi altra app modificando l'ID dell'app nell'URL. Gli utenti con sola lettura ricevono la master key completa invece della master key per la sola lettura e possono fornire autorizzazioni di scrittura nel corpo della richiesta per eseguire operazioni di scrittura ed eliminazione. Sono interessate solo le dashboard con la configurazione `agent` abilitata. La correzione nella versione 9.0.0-alpha.8 aggiunge controlli di autorizzazione per ogni app e limita gli utenti con sola lettura alla `readOnlyMasterKey`, rimuovendo le autorizzazioni di scrittura lato server. Come soluzione alternativa, rimuovere il blocco di configurazione `agent` dalla configurazione della propria dashboard. Le dashboard senza una configurazione `agent` non sono interessate.
If you want to get best quality of vulnerability data, you may have to visit VulDB.