CVE-2026-27608
Açıklama
Parse Dashboard, Parse Server uygulamalarını yönetmek için kullanılan bağımsız bir paneldir. 7.3.0-alpha.42 ile 9.0.0-alpha.7 arasındaki sürümlerde, AI Agent API uç noktası (`POST /apps/:appId/agent`) yetkilendirme denetimi yapmamaktadır. Belirli uygulamalarla sınırlandırılmış kimliği doğrulanmış kullanıcılar, URL'deki uygulama kimliğini değiştirerek herhangi bir diğer uygulamanın agent uç noktasına erişebilirler. Salt okunur kullanıcılara salt okunur anahtar yerine tam master key verilmektedir ve bu kullanıcılar yazma ve silme işlemleri gerçekleştirmek için istek gövdesinde yazma izinleri sağlayabilirler. Yalnızca `agent` yapılandırması etkin olan paneller etkilenmektedir. 9.0.0-alpha.8 sürümündeki düzeltme, uygulama başına yetkilendirme kontrolleri eklemekte ve salt okunur kullanıcıları, yazma izinleri sunucu tarafında kaldırılmış olan `readOnlyMasterKey` ile sınırlandırmaktadır. Geçici bir çözüm olarak, panel yapılandırmanızdan `agent` yapılandırma bloğunu kaldırın. `agent` yapılandırması olmayan paneller etkilenmemektedir.
Nasıl düzeltilir
- parse-dashboard9.0.0-alpha.8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| parseplatform parse_dashboard | 7.3.0, 7.4.0, 7.5.0, 7.6.0, 8.0.0, 8.1.0, 8.1.1, 8.2.0, 8.3.0, 8.4.0, 8.4.1, 8.5.0, 9.0.0 | — |
| parse-dashboardnpm | 7.3.0-alpha.42 ≤ v < 9.0.0-alpha.8 | 9.0.0-alpha.8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.