Parse Server é um backend de código aberto que pode ser implantado em qualquer infraestrutura que execute Node.js. Em versões anteriores a 8.6.0-alpha.2, um fluxo de trabalho do GitHub CI é acionado de uma forma que concede ao fluxo de trabalho do GitHub Actions permissões elevadas, dando-lhe acesso a segredos do GitHub e permissões de escrita que são definidos no fluxo de trabalho. Código de um fork ou scripts de ciclo de vida pode ser incluído. Apenas a infraestrutura de CI/CD do repositório é afetada, incluindo quaisquer forks públicos do GitHub com GitHub A

A vulnerabilidade reside na forma como os workflows do GitHub CI são acionados no Parse Server. Um atacante pode explorar essa falha para injetar código malicioso em um workflow, que então será executado com permissões elevadas. Isso pode levar ao roubo de segredos do GitHub, como chaves de API e tokens de acesso, ou à modificação do código do repositório. A possibilidade de incluir código de forks ou scripts de ciclo de vida aumenta o potencial de ataque, permitindo que atacantes comprometam não apenas o repositório principal, mas também seus forks públicos. O raio de impacto abrange qualquer repositório Parse Server que utilize GitHub Actions e esteja em versões vulneráveis.

Organizations utilizing Parse Server for their backend infrastructure and relying on GitHub Actions for CI/CD are at significant risk. This includes startups, enterprises, and open-source projects that have deployed Parse Server and enabled GitHub Actions for automated builds and deployments. Legacy configurations and repositories with permissive GitHub Actions permissions are particularly vulnerable.

• github / workflows: Examine GitHub Actions workflows for unusual permission configurations or suspicious code execution.

# Example: Check for workflows with elevated permissions
permissions:
  contents: read # Restrict to read-only access where possible
  actions: read

• github / repository: Monitor repository activity for unexpected changes or code modifications, especially within CI/CD related directories. • generic web: Review GitHub Actions logs for any unauthorized access attempts or suspicious activity. • linux / server: Examine system logs for any unusual processes or network connections originating from the CI/CD environment.

1. 2025-12-12Disclosure

   disclosure

1. Reservado2025-12-10
2. Publicada2025-12-12
3. Modificada2025-12-22
4. EPSS atualizado2026-03-23

A correção oficial para essa vulnerabilidade está disponível na versão 8.6.0-alpha.2 do Parse Server. A atualização para essa versão é a medida mais eficaz para mitigar o risco. Enquanto isso, é possível implementar algumas medidas paliativas, como revisar cuidadosamente os workflows do GitHub Actions para identificar e remover quaisquer permissões desnecessárias. Restringir o acesso a segredos e implementar políticas de segurança mais rigorosas para os workflows também pode ajudar a reduzir o impacto potencial de uma exploração. Após a atualização, confirme a correção verificando os logs do Parse Server e monitorando a atividade do GitHub Actions para detectar qualquer comportamento suspeito.