CVE-2026-27595
Təsvir
Parse Dashboard, Parse Server tətbiqlərini idarə etmək üçün müstəqil bir paneldir. 7.3.0-alpha.42 və 9.0.0-alpha.7 versiyaları arasında AI Agent API son nöqtəsində (POST `/apps/:appId/agent`), zəncirləndikdə autentifikasiya olunmamış uzaq hücumçulara master key vasitəsilə hər hansı qoşulmuş Parse Server verilənlər bazasında ixtiyari oxuma və yazma əməliyyatlarını yerinə yetirməyə imkan verən çox sayda təhlükəsizlik boşluğu mövcuddur. Agent funksiyası könüllü aktivləşdirilir; agent konfiqurasiyası olmayan panellər bu problemdən təsirlənmir. 9.0.0-alpha.8 versiyasındakı düzəliş agent son nöqtəsinə autentifikasiya, CSRF validasiyası və tətbiq üzrə avtorizasiya middleware-i əlavə edir. Yalnız oxuma icazəsi olan istifadəçilər `readOnlyMasterKey` ilə məhdudlaşdırılır və yazma icazələri server tərəfində ləğv edilir. Master key və yalnız oxuna bilən master key arasındakı keş açarı toqquşması da aradan qaldırılmışdır. Müvəqqəti həll yolu kimi, Parse Dashboard konfiqurasiyanızdan agent konfiqurasiya blokunu silin və ya şərhə alın.
Necə düzəltmək olar
- parse-dashboard9.0.0-alpha.8 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| parseplatform parse_dashboard | 7.3.0, 7.4.0, 7.5.0, 7.6.0, 8.0.0, 8.1.0, 8.1.1, 8.2.0, 8.3.0, 8.4.0, 8.4.1, 8.5.0, 9.0.0 | — |
| parse-dashboardnpm | 7.3.0-alpha.42 ≤ v < 9.0.0-alpha.8 | 9.0.0-alpha.8 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.