🇰🇷 한글 설명
Parse Dashboard의 AI Agent API 엔드포인트에서 발생하는 보안 취약점으로, 인증되지 않은 원격 공격자가 마스터 키를 사용하여 연결된 Parse Server 데이터베이스에 임의의 읽기 및 쓰기 작업을 수행할 수 있습니다. 이 취약점은 여러 보안 결함이 결합되어 발생하며, 에이전트 기능이 활성화된 경우 데이터베이스 전체에 영향을 미칠 수 있습니다.
💡 쉬운 설명
해커가 로그인하지 않고도 관리자 권한을 탈취하여 데이터베이스의 정보를 읽거나 마음대로 수정할 수 있는 위험한 보안 구멍입니다. 관리자 도구의 AI 기능 설정이 켜져 있을 때 발생하며, 데이터가 유출되거나 파괴될 수 있습니다.
🇺🇸 원문 (English)
Parse Dashboard is a standalone dashboard for managing Parse Server apps. In versions 7.3.0-alpha.42 through 9.0.0-alpha.7, the AI Agent API endpoint (POST `/apps/:appId/agent`) has multiple security vulnerabilities that, when chained, allow unauthenticated remote attackers to perform arbitrary read and write operations against any connected Parse Server database using the master key. The agent feature is opt-in; dashboards without an agent config are not affected. The fix in version 9.0.0-alpha.8 adds authentication, CSRF validation, and per-app authorization middleware to the agent endpoint. Read-only users are restricted to the `readOnlyMasterKey` with write permissions stripped server-side. A cache key collision between master key and read-only master key was also corrected. As a workaround, remove or comment out the agent configuration block from your Parse Dashboard configuration.
📍 영향받는 시스템
Parse Dashboard versions 7.3.0-alpha.42 through 9.0.0-alpha.7 (AI Agent 기능 활성화 시)
⚔️ 공격 벡터
인증되지 않은 원격 공격자가 POST `/apps/:appId/agent` 엔드포인트를 통해 마스터 키 권한을 악용하여 공격
🛡️ 대응 방법
Parse Dashboard를 9.0.0-alpha.8 이상 버전으로 업데이트하거나, 설정 파일에서 agent 구성 블록을 제거 또는 주석 처리하십시오.
🔧 검증 코드
명령어 결과에 취약한 버전 범위가 나타나면 해당 시스템은 보안 위험이 있는 상태입니다.
npm list -g parse-dashboard | grep -E '7.3.0-alpha.42|9.0.0-alpha.7'