CVE-2026-27608

Parse Dashboard: brak autoryzacji w endpoint AI Agent API (CVE-2026-27608)

CVSS 9.3v4.0pub. 2026-02-25upd. 2026-06-26

Parse Dashboard w wersjach od 7.3.0-alpha.42 do 9.0.0-alpha.7 nie wymusza autoryzacji dla endpointu AI Agent API (`POST /apps/:appId/agent`). Zalogowany użytkownik może uzyskać nieautoryzowany dostęp do dowolnej aplikacji zarządzanej przez dashboard, a użytkownik z prawami tylko do odczytu może wykonywać operacje zapisu i usuwania danych.

▸ Pokaż oryginał (EN)

Parse Dashboard is a standalone dashboard for managing Parse Server apps. In versions 7.3.0-alpha.42 through 9.0.0-alpha.7, the AI Agent API endpoint (`POST /apps/:appId/agent`) does not enforce authorization. Authenticated users scoped to specific apps can access any other app's agent endpoint by changing the app ID in the URL. Read-only users are given the full master key instead of the read-only master key and can supply write permissions in the request body to perform write and delete operations. Only dashboards with `agent` configuration enabled are affected. The fix in version 9.0.0-alpha.8 adds per-app authorization checks and restricts read-only users to the `readOnlyMasterKey` with write permissions stripped server-side. As a workaround, remove the `agent` configuration block from your dashboard configuration. Dashboards without an `agent` config are not affected.

🤖 Analiza AI

Jak działa

Podatność polega na braku sprawdzenia uprawnień (CWE-862 — Missing Authorization) w endpoincie `POST /apps/:appId/agent`. Uwierzytelniony użytkownik przypisany do konkretnej aplikacji może zmodyfikować parametr `appId` w adresie URL żądania, uzyskując tym samym dostęp do agenta dowolnej innej aplikacji. Dodatkowo użytkownicy z dostępem tylko do odczytu (read-only) otrzymują pełny klucz master zamiast ograniczonego klucza `readOnlyMasterKey`, co umożliwia im przesłanie w treści żądania parametrów nadających uprawnienia zapisu i usuwania. Problem dotyczy wyłącznie instalacji, w których aktywna jest konfiguracja bloku `agent` w ustawieniach dashboardu.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do danych dowolnej aplikacji zarządzanej przez dashboard, a także wykonywać operacje zapisu i usuwania danych z pominięciem przypisanych mu ograniczeń uprawnień.

Mitygacja

Należy zaktualizować Parse Dashboard do wersji 9.0.0-alpha.8 lub nowszej, która wprowadza weryfikację uprawnień per-aplikacja oraz ogranicza użytkowników read-only do klucza `readOnlyMasterKey` z serwerowym usuwaniem uprawnień zapisu. Jako obejście (workaround) bez aktualizacji: należy usunąć blok konfiguracyjny `agent` z pliku konfiguracyjnego dashboardu — instalacje bez tej konfiguracji nie są podatne.

Kogo dotyczy

Parseplatform Parse Dashboard w wersjach od 7.3.0-alpha.42 do 9.0.0-alpha.7 (włącznie) z włączoną konfiguracją bloku `agent`

Uwagi

Podatność dotyczy wyłącznie instalacji z aktywną konfiguracją bloku `agent`. Poprawka dostępna w wersji 9.0.0-alpha.8 opisana w referencjach producenta (GitHub Security Advisory GHSA-cvwj-6c9h-jg6v).

CVSS Vector

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X