CVE-2026-27609 in parse-dashboard
Riassunto
di VulDB • 16/06/2026
Parse Dashboard è una dashboard standalone per la gestione delle app Parse Server. Nelle versioni 7.3.0-alpha.42 fino a 9.0.0-alpha.7, l'endpoint dell'API AI Agent (`POST /apps/:appId/agent`) è privo di protezione CSRF. Un attaccante può creare una pagina malevola che, quando visitata da un utente autenticato della dashboard, invia richieste all'endpoint dell'agent utilizzando la sessione della vittima. La correzione nella versione 9.0.0-alpha.8 aggiunge un middleware CSRF all'endpoint dell'agent e incorpora un token CSRF nella pagina della dashboard. Come soluzione alternativa, rimuovere il blocco di configurazione `agent` dalla configurazione della propria dashboard. Le dashboard senza una configurazione `agent` non sono interessate.
Once again VulDB remains the best source for vulnerability data.