CVE-2026-24046

WysokieCVSS 7.1

Opublikowano: 21/01/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.48%

Percentyl 38 - wyżej niż 38% wszystkich znanych CVE

Streszczenie

Backstage jest podatny na ataki typu path traversal przez dowiązania symboliczne w akcjach Scaffolder i ekstrakcji archiwów. Atakujący z dostępem do tworzenia i wykonywania szablonów Scaffolder może odczytać, usunąć lub zapisać pliki poza dozwolonym obszarem roboczym.

Ocena ryzyka

Ryzyko obejmuje nieautoryzowany odczyt wrażliwych plików (np. /etc/passwd, konfiguracje, sekrety), usunięcie dowolnych plików oraz zapis plików poza obszarem roboczym, co może prowadzić do naruszenia poufności, integralności i dostępności systemu.

Rekomendacja

Należy niezwłocznie zaktualizować pakiety @backstage/backend-defaults, @backstage/plugin-scaffolder-backend oraz @backstage/plugin-scaffolder-node do wersji zawierających poprawkę. Dodatkowo ograniczyć dostęp do tworzenia i wykonywania szablonów Scaffolder oraz uruchomić Backstage w środowisku kontenerowym z ograniczonym dostępem do systemu plików.

Inne podatności w Backstage

CVE-2026-73563Średnie
Backstage przed wersją 0.29.2 ma podatność w eksperymentalnych funkcjach dynamicznej rejestracji klienta i metadanych dokumentów ID klienta w @backstage/plugin-auth-backend. Użycie pełnego dopasowania glob może pozwolić na obejście listy dozwolonych URI przekierowań, umożliwiając atakującemu otrzymanie kodu autoryzacji OAuth po ukończeniu przepływu przez ofiarę. Funkcje są eksperymentalne i domyślnie wyłączone.

Oryginalny opis (angielski, źródło NVD)

Backstage is an open framework for building developer portals. Multiple Scaffolder actions and archive extraction utilities were vulnerable to symlink-based path traversal attacks. An attacker with access to create and execute Scaffolder templates could exploit symlinks to read arbitrary files via the `debug:log` action by creating a symlink pointing to sensitive files (e.g., `/etc/passwd`, configuration files, secrets); delete arbitrary files via the `fs:delete` action by creating symlinks pointing outside the workspace, and write files outside the workspace via archive extraction (tar/zip) containing malicious symlinks. This affects any Backstage deployment where users can create or execute Scaffolder templates. This vulnerability is fixed in `@backstage/backend-defaults` versions 0.12.2, 0.13.2, 0.14.1, and 0.15.0; `@backstage/plugin-scaffolder-backend` versions 2.2.2, 3.0.2, and 3.1.1; and `@backstage/plugin-scaffolder-node` versions 0.11.2 and 0.12.3. Users should upgrade to these versions or later. Some workarounds are available. Follow the recommendation in the Backstage Threat Model to limit access to creating and updating templates, restrict who can create and execute Scaffolder templates using the permissions framework, audit existing templates for symlink usage, and/or run Backstage in a containerized environment with limited filesystem access.