CVE-2026-27608

Parse Dashboard, Parse Server tətbiqlərini idarə etmək üçün müstəqil bir paneldir. 7.3.0-alpha.42 versiyasından 9.0.0-alpha.7 versiyasına qədər olan versiyalarda, AI Agent API son nöqtəsi (`POST /apps/:appId/agent`) avtorizasiyanı təmin etmir. Müəyyən tətbiqlərə məhdudlaşdırılmış autentifikasiya olunmuş istifadəçilər, URL-də tətbiq ID-sini dəyişərək hər hansı digər tətbiqin agent son nöqtəsinə daxil ola bilərlər. Yalnız oxuma hüququ olan istifadəçilərə yalnız oxuma master açarı əvəzinə tam master açarı verilir və onlar yazma və silmə əməliyyatlarını yerinə yetirmək üçün sorğu gövdəsində yazma icazələri təqdim edə bilərlər. Yalnız `agent` konfiqurasiyası aktiv edilmiş panellər təsirlənir. 9.0.0-alpha.8 versiyasındakı düzəliş hər tətbiq üzrə avtorizasiya yoxlamalarını əlavə edir və yalnız oxuma hüququ olan istifadəçiləri, yazma icazələri server tərəfində ləğv edilmiş `readOnlyMasterKey` ilə məhdudlaşdırır. Müvəqqəti həll yolu kimi, panel konfiqurasiyanızdan `agent` konfiqurasiya blokunu çıxarın. `agent` konfiqurasiyası olmayan panellər təsirlənmir.