PT-2025-50894 · Unknown · Parse Server

Barakharyati · Publicado 2025-12-12 · Atualizado 2025-12-12 · CVE-2025-67727

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Parse Server anteriores à 8.6.0-alpha.2

Descrição O Parse Server é um backend de código aberto implantável em infraestruturas Node.js. Um fluxo de trabalho de CI do GitHub pode ser disparado de maneira que conceda permissões elevadas ao fluxo de trabalho do GitHub Actions, proporcionando acesso a segredos do GitHub e permissões de gravação definidos dentro do fluxo de trabalho. Código originado de um fork ou scripts de ciclo de vida podem ser incluídos. A área afetada limita-se à infraestrutura de CI/CD do repositório, incluindo forks públicos do GitHub com GitHub Actions habilitado.

Recomendações Atualize o Parse Server para a versão 8.6.0-alpha.2 ou posterior.

Exploit

Correção

RCE

Improper Privilege Management

Code Injection

Enumeração de Fraquezas

CWE-269

CWE-94

Identificadores relacionados

BIT-PARSE-2025-67727

CVE-2025-67727

GHSA-6W8G-MGVV-3FCJ

Produtos afetados

Parse Server

Referências · 8

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/67xxx/CVE-2025-67727.json · Exploit
• https://github.com/parse-community/parse-server/commit/e3d27fea08c8d8bdd9770a689bc2d757cda48b66 · Correção
• https://github.com/parse-community/parse-server/commit/6b9f8963cc3debf59cd9c5dfc5422aff9404ce9d · Correção
• https://github.com/parse-community/parse-server/security/advisories/GHSA-6w8g-mgvv-3fcj · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-67727 · Aviso do Fabricante
• https://t.me/CVEtracker/39591 · Publicação no Telegram
• https://t.me/cveNotify/145564 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2025-67727 · Nota de Segurança