CVE-2025-67727
中已发布
Parse Server GitHub CI 工作流因权限管理不当存在 RCE 漏洞
- 已发布
- 2025年12月12日
- 已更新
- 2025年12月12日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月28日
初级CVSS
6.9/ 10中
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X0.4%
低 · 未来 30 天
- 百分位
- 33.8%
- 型号日期
- 2026年10月3日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Parse Server 是一个开源后端，可以部署到任何运行 Node.js 的基础设施上。在 8.6.0-alpha.2 之前的版本中，GitHub CI 工作流的触发方式会授予 GitHub Actions 工作流提升的权限，使其能够访问 GitHub secrets 以及工作流中定义的写入权限。来自 fork 或生命周期脚本的代码可能被包含在内。仅仓库的 CI/CD 基础设施受到影响，包括任何启用了 GitHub Actions 的公共 GitHub fork。此问题已在 8.6.0-alpha.2 版本以及提交 6b9f896 和 e3d27fe 中修复。
来源
复现 CVE-2025-67727 的实验室（parse-community/parse-server ci-performance.yml pull_request_target RCE，位于 e78e58d）——授权安全研究
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。