CVE-2026-44374
ŚrednieCVSS 4.3Streszczenie
Backstage to otwarte środowisko do budowania portali deweloperskich. W wersjach przed 0.6.11, nieprzetworzone encje w punktach końcowych @backstage/plugin-catalog-backend-module-unprocessed nie wymuszają sprawdzania uprawnień, co pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do nieprzetworzonych rekordów encji, niezależnie od ich właściciela.
Ocena ryzyka
Ta podatność prowadzi do ujawnienia informacji, co może narazić organizację na ryzyko nieautoryzowanego dostępu do wrażliwych danych. Wszelkie dane encji mogą być dostępne dla użytkowników, którzy nie powinni mieć do nich dostępu.
Rekomendacja
Zaleca się aktualizację do wersji @backstage/plugin-catalog-backend-module-unprocessed 0.6.11, @backstage/plugin-catalog-unprocessed-entities-common 0.0.15 oraz @backstage/plugin-catalog-unprocessed-entities 0.2.30, aby załatać tę podatność.
Oryginalny opis (angielski, źródło NVD)
Backstage is an open framework for building developer portals. Prior to 0.6.11, the unprocessed entities read endpoints in @backstage/plugin-catalog-backend-module-unprocessed do not enforce permission authorization checks. Any authenticated user can access unprocessed entity records regardless of ownership. This is an information disclosure vulnerability affecting Backstage installations using this module. This is patched in @backstage/plugin-catalog-backend-module-unprocessed version 0.6.11, @backstage/plugin-catalog-unprocessed-entities-common version 0.0.15 and @backstage/plugin-catalog-unprocessed-entities version 0.2.30.