Parse Server は、Node.js が動作するあらゆるインフラストラクチャにデプロイできるオープンソースのバックエンドです。8.6.0-alpha.2 以前のバージョンでは、GitHub CI ワークフローが、GitHub Actions ワークフローに昇格された権限を付与する形でトリガーされます。これにより、ワークフローで定義された GitHub secrets と書き込み権限へのアクセスが可能になります。フォークまたはライフサイクルスクリプトからのコードが潜在的に含まれる可能性があります。影響を受けるのはリポジトリの CI/CD インフラストラクチャのみで、GitHub Actions が有効になっている公開 GitHub フォークも含まれます。

この脆弱性を悪用されると、攻撃者はParse ServerリポジトリのGitHub Actionsワークフローを制御し、機密情報（GitHub Secrets）を盗み出すことが可能になります。さらに、ワークフローに悪意のあるコードを挿入し、サーバー上で任意のコードを実行できる可能性があります。これにより、データ漏洩、システム改ざん、さらにはParse Serverインフラ全体へのアクセス権取得といった深刻な被害が発生する可能性があります。特に、CI/CDパイプラインを介してコードが自動的にデプロイされる環境では、攻撃の影響が広範囲に及ぶ可能性があります。この脆弱性は、GitHub Actionsを有効にしているリポジトリのCI/CDインフラストラクチャ全体に影響を及ぼし、フォークされたリポジトリにも影響する可能性があります。

Organizations utilizing Parse Server for their backend infrastructure and relying on GitHub Actions for CI/CD are at significant risk. This includes startups, enterprises, and open-source projects that have deployed Parse Server and enabled GitHub Actions for automated builds and deployments. Legacy configurations and repositories with permissive GitHub Actions permissions are particularly vulnerable.

• github / workflows: Examine GitHub Actions workflows for unusual permission configurations or suspicious code execution.

# Example: Check for workflows with elevated permissions
permissions:
  contents: read # Restrict to read-only access where possible
  actions: read

• github / repository: Monitor repository activity for unexpected changes or code modifications, especially within CI/CD related directories. • generic web: Review GitHub Actions logs for any unauthorized access attempts or suspicious activity. • linux / server: Examine system logs for any unusual processes or network connections originating from the CI/CD environment.

1. 2025-12-12Disclosure

   disclosure

1. 予約済み2025-12-10
2. 公開日2025-12-12
3. 更新日2025-12-22
4. EPSS 更新日2026-03-23

この脆弱性への対応策として、Parse Serverをバージョン8.6.0-alpha.2以降にアップグレードすることを強く推奨します。アップグレードが困難な場合は、GitHub Actionsワークフローの権限設定を見直し、不要な権限を削除することでリスクを軽減できます。また、ワークフローの実行ログを監視し、不審なアクティビティがないか確認することも重要です。WAFやプロキシサーバーを導入し、悪意のあるリクエストをブロックすることも有効な対策となります。GitHub Actionsのセキュリティ設定を強化し、リポジトリのアクセス制御を適切に設定することで、攻撃のリスクを低減できます。