Parse Server एक ओपन सोर्स बैकएंड है जिसे Node.js चलाने वाले किसी भी इंफ्रास्ट्रक्चर पर तैनात किया जा सकता है। 8.6.0-alpha.2 से पहले के संस्करणों में, एक GitHub CI वर्कफ़्लो इस तरह से ट्रिगर होता है कि यह GitHub Actions वर्कफ़्लो को उन्नत अनुमतियाँ प्रदान करता है, जिससे इसे वर्कफ़्लो में परिभाषित GitHub सीक्रेट और लेखन अनुमतियों तक पहुंच प्राप्त होती है। एक फोर्क या लाइफसाइकिल स्क्रिप्ट से कोड संभावित रूप से शामिल है। केवल रिपॉजिटरी के CI/CD इंफ्रास्ट्रक्चर से प्रभावित है, जिसमें GitHub Actions के साथ कोई भी सार्वजनिक GitHub फोर्क शामिल है।

यह भेद्यता हमलावर को GitHub सीक्रेट तक पहुंचने और Parse Server रिपॉजिटरी में बदलाव करने की अनुमति देती है। इसका मतलब है कि हमलावर कोड को इंजेक्ट कर सकता है, डेटा को चुरा सकता है, या सिस्टम को पूरी तरह से नियंत्रित कर सकता है। विशेष रूप से, GitHub Actions वर्कफ़्लो के माध्यम से कोड को शामिल करने की क्षमता, हमलावरों को दुर्भावनापूर्ण कोड को इंजेक्ट करने और इसे स्वचालित रूप से तैनात करने की अनुमति देती है। यह भेद्यता रिपॉजिटरी के CI/CD इंफ्रास्ट्रक्चर को प्रभावित करती है, जिसमें GitHub Actions सक्षम सार्वजनिक GitHub फ़ॉर्क भी शामिल हैं। इस भेद्यता का उपयोग करके, हमलावर संवेदनशील जानकारी तक पहुंच प्राप्त कर सकता है और सिस्टम को नुकसान पहुंचा सकता है।

Organizations utilizing Parse Server for their backend infrastructure and relying on GitHub Actions for CI/CD are at significant risk. This includes startups, enterprises, and open-source projects that have deployed Parse Server and enabled GitHub Actions for automated builds and deployments. Legacy configurations and repositories with permissive GitHub Actions permissions are particularly vulnerable.

• github / workflows: Examine GitHub Actions workflows for unusual permission configurations or suspicious code execution.

# Example: Check for workflows with elevated permissions
permissions:
  contents: read # Restrict to read-only access where possible
  actions: read

• github / repository: Monitor repository activity for unexpected changes or code modifications, especially within CI/CD related directories. • generic web: Review GitHub Actions logs for any unauthorized access attempts or suspicious activity. • linux / server: Examine system logs for any unusual processes or network connections originating from the CI/CD environment.

1. 2025-12-12Disclosure

   disclosure

1. आरक्षित2025-12-10
2. प्रकाशित2025-12-12
3. संशोधित2025-12-22
4. EPSS अद्यतन2026-03-23

इस भेद्यता को कम करने के लिए, Parse Server को संस्करण 8.6.0-alpha.2 या बाद के संस्करण में अपग्रेड करना आवश्यक है। यदि अपग्रेड करना संभव नहीं है, तो GitHub Actions वर्कफ़्लो में सीक्रेट्स के उपयोग को सीमित करने पर विचार करें। वर्कफ़्लो में कोड को शामिल करने से बचें, और केवल विश्वसनीय स्रोतों से कोड का उपयोग करें। GitHub सीक्रेट्स को सुरक्षित रूप से प्रबंधित करने के लिए एन्क्रिप्शन और एक्सेस नियंत्रण का उपयोग करें। GitHub Actions वर्कफ़्लो की नियमित रूप से निगरानी करें ताकि किसी भी असामान्य गतिविधि का पता लगाया जा सके।