CVE-2026-106500

Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersją 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na nieprawidłową walidację danych wejściowych w sortowaniu listy zadań scaffolder. Uwierzytelniony użytkownik Backstage z uprawnieniami do tworzenia i odczytu odpowiednich zadań scaffolder może w określonych warunkach wywnioskować poufne dane zadań. Skuteczne wykorzystanie wymaga zachowanych sekretów zadań, widoczności docelowego zadania, znajomości struktury sekretów i powtarzanych żądań. Problem naprawiono w wersji 4.1.0.

Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersją 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na ujawnienie wrażliwych informacji w logach zadań scaffolder. Uwierzytelniony użytkownik, który może tworzyć i odczytywać zadania scaffolder, może obserwować wrażliwe wartości w logach zadań we wdrożeniach z restrykcyjnymi uprawnieniami akcji i dotkniętymi szablonami. Eksploatacja wymaga odrzuconej akcji, której dane wejściowe zawierają taką wartość. Problem naprawiono w wersji 4.1.0.

W Backstage przed wersjami 3.3.1, 3.4.1, 4.0.3 i 4.1.0, pakiet @backstage/plugin-scaffolder-backend ma obejście autoryzacji wejściowej akcji scaffolder. Uwierzytelniony użytkownik z dostępem do szablonów Scaffolder może ominąć skonfigurowane ograniczenia akcji, co może prowadzić do nieautoryzowanego dostępu do repozytoriów i zasobów kontroli wersji.

Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersją 4.1.0 pakiet @backstage/plugin-scaffolder-backend mógł ujawniać wrażliwe informacje w zdarzeniach niepowodzenia zadań Scaffolder. W określonych warunkach szablonu i niepowodzenia uwierzytelniony użytkownik może pobrać poświadczenia zarządzane przez backend, używane podczas wykonywania zadania, z dotkniętych zdarzeń zadań. Problem naprawiono w wersji 4.1.0.

W pakiecie @backstage/plugin-scaffolder-backend przed wersją 4.1.0 występuje nieprawidłowa autoryzacja w listowaniu zadań scaffolder. Uwierzytelniony użytkownik wewnętrzny może przeglądać metadane zadań poza zakresem przewidzianym przez politykę uprawnień. W odpowiedzi nie są zawarte tajemnice zadań, a wpływ na integralność i dostępność nie został zidentyfikowany. Problem naprawiono w wersji 4.1.0.

Podatność w wtyczce scaffolder-backend platformy Backstage umożliwia zdalne wykonanie kodu przez złośliwego aktora, który ma dostęp do zarejestrowanego szablonu. Problem wynika z użycia biblioteki szablonów, która wymaga sandboxa, co pozwala na wstrzykiwanie kodu.