CVE-2026-27608

إصدارات Parse Dashboard من 7.3.0-alpha.42 حتى 9.0.0-alpha.7

يحتوي Parse Dashboard، وهو لوحة تحكم مستقلة لإدارة تطبيقات Parse Server، على مشكلة تتمثل في أن نقطة نهاية واجهة برمجة تطبيقات (API) لوكيل الذكاء الاصطناعي (POST /apps/:appId) تفتقر إلى إجراءات التحقق من التفويض المناسبة. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول إلى تطبيقات محددة الوصول إلى نقطة نهاية وكيل أي تطبيق آخر عن طريق تعديل appId في عنوان URL. ويحصل المستخدمون ذوو صلاحية القراءة فقط على المفتاح الرئيسي الكامل بدلاً من المفتاح الرئيسي للقراءة فقط، مما يتيح لهم إجراء عمليات الكتابة والحذف بما في ذلك أذونات الكتابة في نص الطلب. ولا تتأثر سوى اللوحات التي تم تمكين إعداد agent فيها.

قم بالتحديث إلى الإصدار 9.0.0-alpha.8 أو أحدث.

كحل بديل، قم بإزالة كتلة التكوين agent من إعدادات لوحة التحكم الخاصة بك.