CVE-2025-67727

सारांश

Parse Server एक ओपन सोर्स बैकएंड है जिसे किसी भी इंफ्रास्ट्रक्चर पर डिप्लॉय किया जा सकता है जो Node.js चलाता है। 8.6.0-alpha.2 से पहले के संस्करणों में, एक GitHub CI वर्कफ़्लो इस तरह ट्रिगर होता है कि GitHub Actions वर्कफ़्लो को उन्नत अनुमतियाँ मिल जाती हैं, जिससे उसे GitHub secrets और वर्कफ़्लो में परिभाषित write अनुमतियों तक पहुँच मिल जाती है। किसी fork या lifecycle scripts का कोड संभावित रूप से शामिल होता है। केवल रिपॉज़िटरी का CI/CD इंफ्रास्ट्रक्चर प्रभावित होता है, जिसमें GitHub Actions सक्षम वाले किसी भी public GitHub fork शामिल हैं। यह समस्या संस्करण 8.6.0-alpha.2 और commits 6b9f896 तथा e3d27fe में ठीक कर दी गई है।

स्रोत

• gha-lab-51c6b6d0a0अनुसंधान

  लैब जो CVE-2025-67727 (parse-community/parse-server ci-performance.yml pull_request_target RCE at e78e58d) को दोहराता है — अधिकृत सुरक्षा अनुसंधान