CVE-2026-44374
MediumCVSS 4.3Summary
Backstage to otwarte środowisko do budowania portali deweloperskich. W wersjach przed 0.6.11, nieprzetworzone encje w punktach końcowych @backstage/plugin-catalog-backend-module-unprocessed nie wymuszają sprawdzania uprawnień, co pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do nieprzetworzonych rekordów encji, niezależnie od ich właściciela.
Risk Assessment
Ta podatność prowadzi do ujawnienia informacji, co może narazić organizację na ryzyko nieautoryzowanego dostępu do wrażliwych danych. Wszelkie dane encji mogą być dostępne dla użytkowników, którzy nie powinni mieć do nich dostępu.
Recommendation
Zaleca się aktualizację do wersji @backstage/plugin-catalog-backend-module-unprocessed 0.6.11, @backstage/plugin-catalog-unprocessed-entities-common 0.0.15 oraz @backstage/plugin-catalog-unprocessed-entities 0.2.30, aby załatać tę podatność.
Original NVD description (English source)
Backstage is an open framework for building developer portals. Prior to 0.6.11, the unprocessed entities read endpoints in @backstage/plugin-catalog-backend-module-unprocessed do not enforce permission authorization checks. Any authenticated user can access unprocessed entity records regardless of ownership. This is an information disclosure vulnerability affecting Backstage installations using this module. This is patched in @backstage/plugin-catalog-backend-module-unprocessed version 0.6.11, @backstage/plugin-catalog-unprocessed-entities-common version 0.0.15 and @backstage/plugin-catalog-unprocessed-entities version 0.2.30.