CVE-2026-106561

Backstage to otwarta platforma do budowania portali deweloperskich. Przed wersjami 3.3.1, 3.4.1, 4.0.3 i 4.1.0 pakiet @backstage/plugin-scaffolder-backend jest podatny na ujawnienie wrażliwych informacji w narzędziu Scaffolder. Uwierzytelniony użytkownik Backstage, który może odczytać zadanie Scaffolder innego użytkownika, może otrzymać wewnętrzne dane wykonawcze.

Pakiet @backstage/backend-defaults przed wersją 0.17.8 zawiera błąd niewłaściwej kontroli dostępu przy wywoływaniu akcji backendu. Uwierzytelniony użytkownik mógł wywołać akcje, które operator wykluczył w konfiguracji. Istniejące uprawnienia akcji i autoryzacja niższego poziomu pozostają egzekwowane.

Wtyczka @backstage/plugin-scaffolder-backend-module-confluence-to-markdown w wersjach przed 0.3.25 ma niewystarczającą walidację danych wejściowych w module konwersji Confluence do Markdown. Może to pozwolić atakującemu na wpływ na operacje zapisu plików podczas wykonywania szablonu, jeśli użytkownik Backstage uruchomi szablon przetwarzający treści Confluence kontrolowane przez atakującego.

Backstage, framework do budowy portali deweloperskich, przed wersją 1.14.6 zawiera podatność na zdalne wykonanie kodu w pakiecie @backstage/plugin-techdocs-node. Uwierzytelniony użytkownik, który może rejestrować encje katalogu, może dostarczyć spreparowany plik mkdocs.yml z polami markdown_extensions, co prowadzi do wykonania dowolnych poleceń systemu operacyjnego na hoście budującym TechDocs. Problem został naprawiony w wersjach 1.14.6 i 1.15.4.

Backstage przed wersją 4.1.0 w pakiecie @backstage/plugin-scaffolder-backend może ujawniać wartości pochodzące z sekretów w logach zadań Scaffolder. Dotyczy to instalacji, które konfigurują wrażliwe sekrety scaffolder.defaultEnvironment.secrets i pozwalają atakującemu na tworzenie lub modyfikację szablonów Scaffolder. Autor szablonu może spowodować, że wartości pochodzące z sekretów używane podczas iteracji szablonu zostaną zapisane i ujawnione użytkownikom mającym dostęp do logów zadań.

Backstage przed wersją 3.9.1 w pakiecie @backstage/plugin-catalog-backend ma niespójną ocenę uprawnień dla właściwości katalogu. W instalacjach, które używają warunków uprawnień opartych na wartościach jako granicy poufności, uwierzytelniony użytkownik może otrzymać dane encji katalogu, które autorzy polityki zamierzali ograniczyć.

Pakiet @backstage/plugin-catalog-backend w Backstage przed wersją 3.9.1 nieegzekwuje spójnie dozwolonych typów lokalizacji podczas przetwarzania katalogu. W pewnych konfiguracjach backend może przetwarzać typy lokalizacji, które nie powinny być dozwolone, co może prowadzić do niezamierzonego dostępu do plików na hoście backendu.

Backstage przed wersją 0.17.8 w pakiecie @backstage/backend-defaults ma nieprawidłową walidację danych wejściowych w czytnikach URL magazynu w chmurze. Atakujący z dostępem do zapisu do zasobnika magazynu w chmurze używanego przez Backstage może stworzyć nazwy obiektów, które mogą kolidować z chronionymi plikami w katalogu wyjściowym. W niektórych konfiguracjach może to prowadzić do wstrzyknięcia treści.

Dostawcy katalogu magazynu w chmurze w Backstage przed wersją 1.54.6 nie weryfikowali wystarczająco ścieżek obiektów. Podmiot mogący tworzyć lub zmieniać nazwy obiektów w skonfigurowanym źródle katalogu Azure Blob Storage lub AWS S3 mógł spowodować odczyt deskryptorów katalogu spoza zamierzonej granicy magazynu, ograniczony do lokalizacji osiągalnych za pomocą skonfigurowanych poświadczeń backendu.

Backstage przed wersją 0.6.17 w pakiecie @backstage/plugin-proxy-backend ma nieprawidłową walidację danych wejściowych w proxy-backend. Uwierzytelniony użytkownik Backstage może skonstruować URL żądania, które powoduje przekazanie żądania do ścieżki poza skonfigurowaną ścieżką bazową na serwerze docelowym. Ogranicza się to do serwerów docelowych już skonfigurowanych jako punkty końcowe proxy i wymaga domyślnie uwierzytelnienia Backstage.