CVE-2026-106503

Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersją 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na nieprawidłową walidację danych wejściowych w sortowaniu listy zadań scaffolder. Uwierzytelniony użytkownik Backstage z uprawnieniami do tworzenia i odczytu odpowiednich zadań scaffolder może w określonych warunkach wywnioskować poufne dane zadań. Skuteczne wykorzystanie wymaga zachowanych sekretów zadań, widoczności docelowego zadania, znajomości struktury sekretów i powtarzanych żądań. Problem naprawiono w wersji 4.1.0.

Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersją 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na ujawnienie wrażliwych informacji w logach zadań scaffolder. Uwierzytelniony użytkownik, który może tworzyć i odczytywać zadania scaffolder, może obserwować wrażliwe wartości w logach zadań we wdrożeniach z restrykcyjnymi uprawnieniami akcji i dotkniętymi szablonami. Eksploatacja wymaga odrzuconej akcji, której dane wejściowe zawierają taką wartość. Problem naprawiono w wersji 4.1.0.

Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersją 4.1.0 pakiet @backstage/plugin-scaffolder-backend mógł ujawniać wrażliwe informacje w zdarzeniach niepowodzenia zadań Scaffolder. W określonych warunkach szablonu i niepowodzenia uwierzytelniony użytkownik może pobrać poświadczenia zarządzane przez backend, używane podczas wykonywania zadania, z dotkniętych zdarzeń zadań. Problem naprawiono w wersji 4.1.0.

W Backstage przed wersjami 3.3.1, 3.4.1, 4.0.3 i 4.1.0, pakiet @backstage/plugin-scaffolder-backend ma nieprawidłową walidację stanu zadań. Uwierzytelniony użytkownik z uprawnieniami do tworzenia i dostępu do zadań Scaffolder może, w określonych warunkach, wpływać na pliki dostępne dla backendu Backstage, co może naruszyć poufność, integralność i dostępność.

W pakiecie @backstage/plugin-scaffolder-backend przed wersją 4.1.0 występuje nieprawidłowa autoryzacja w listowaniu zadań scaffolder. Uwierzytelniony użytkownik wewnętrzny może przeglądać metadane zadań poza zakresem przewidzianym przez politykę uprawnień. W odpowiedzi nie są zawarte tajemnice zadań, a wpływ na integralność i dostępność nie został zidentyfikowany. Problem naprawiono w wersji 4.1.0.

Podatność w wtyczce scaffolder-backend platformy Backstage umożliwia zdalne wykonanie kodu przez złośliwego aktora, który ma dostęp do zarejestrowanego szablonu. Problem wynika z użycia biblioteki szablonów, która wymaga sandboxa, co pozwala na wstrzykiwanie kodu.