Parse Server est un backend open source qui peut être déployé sur n'importe quelle infrastructure exécutant Node.js. Dans les versions antérieures à 8.6.0-alpha.2, un workflow GitHub CI est déclenché d'une manière qui accorde au workflow GitHub Actions des privilèges élevés, lui donnant accès aux secrets GitHub et aux permissions d'écriture qui sont définis dans le workflow. Du code provenant d'un fork ou de scripts de cycle de vie peut être inclus. Seule l'infrastructure CI/CD du dépôt est affectée, y compris tous les forks GitHub publics avec GitHub A

Cette vulnérabilité présente un risque d'exécution de code à distance (RCE) significatif. Un attaquant peut exploiter cette faille en manipulant un workflow GitHub Actions pour accéder à des secrets sensibles stockés dans le dépôt Parse Server, tels que des clés API, des mots de passe ou des jetons d'authentification. Ces secrets peuvent ensuite être utilisés pour compromettre d'autres systèmes ou services connectés à Parse Server. De plus, l'attaquant pourrait injecter du code malveillant dans le workflow, qui serait exécuté avec des privilèges élevés, permettant ainsi un contrôle total sur l'environnement Parse Server. Le risque est amplifié si le dépôt est public ou si des forks sont utilisés, car le code malveillant pourrait se propager à d'autres utilisateurs.

Organizations utilizing Parse Server for their backend infrastructure and relying on GitHub Actions for CI/CD are at significant risk. This includes startups, enterprises, and open-source projects that have deployed Parse Server and enabled GitHub Actions for automated builds and deployments. Legacy configurations and repositories with permissive GitHub Actions permissions are particularly vulnerable.

• github / workflows: Examine GitHub Actions workflows for unusual permission configurations or suspicious code execution.

# Example: Check for workflows with elevated permissions
permissions:
  contents: read # Restrict to read-only access where possible
  actions: read

• github / repository: Monitor repository activity for unexpected changes or code modifications, especially within CI/CD related directories. • generic web: Review GitHub Actions logs for any unauthorized access attempts or suspicious activity. • linux / server: Examine system logs for any unusual processes or network connections originating from the CI/CD environment.

1. 2025-12-12Disclosure

   disclosure

1. Réservé2025-12-10
2. Publiée2025-12-12
3. Modifiée2025-12-22
4. EPSS mis à jour2026-03-23

La mitigation principale consiste à mettre à jour Parse Server vers la version 8.6.0-alpha.2 ou ultérieure, qui corrige cette vulnérabilité. En attendant la mise à jour, il est possible de limiter les privilèges accordés aux workflows GitHub Actions en restreignant l'accès aux secrets et en désactivant les fonctionnalités potentiellement dangereuses. Il est également recommandé de surveiller attentivement les workflows GitHub Actions pour détecter toute activité suspecte. Vérifiez les logs de GitHub Actions pour détecter des exécutions inattendues ou des tentatives d'accès à des secrets non autorisés. Après la mise à jour, vérifiez la configuration des workflows GitHub Actions pour vous assurer qu'ils respectent le principe du moindre privilège.