CVE-2026-106501

Backstage to otwarty framework do budowania portali deweloperskich. W wersjach przed 3.9.2 oraz od 4.0.0 do 4.0.2 komponent DefaultCatalogRulesEnforcer w @backstage/plugin-catalog-backend porównuje surowy URL location.target z catalog.rules, podczas gdy czytniki URL kanonikalizują ten sam URL przed pobraniem. Uwierzytelniony użytkownik z uprawnieniem catalog.location.create może użyć procentowo kodowanych segmentów ścieżki, aby niezaufany URL pasował do wzorca zaufanej lokalizacji, mimo że kanoniczny URL wykracza poza ten zakres.

Pakiet @backstage/backend-defaults przed wersją 0.17.8 zawiera błąd niewłaściwej kontroli dostępu przy wywoływaniu akcji backendu. Uwierzytelniony użytkownik mógł wywołać akcje, które operator wykluczył w konfiguracji. Istniejące uprawnienia akcji i autoryzacja niższego poziomu pozostają egzekwowane.

Wtyczka @backstage/plugin-kubernetes-backend w wersjach przed 0.21.9 pozwala uwierzytelnionemu użytkownikowi z uprawnieniem odczytu zasobów Kubernetes na pobranie wrażliwych wartości, które wtyczka normalnie maskuje. Może to ujawnić dane uwierzytelniające i inne poufne informacje z podłączonych klastrów, ograniczone do zasobów, do których konto usługi Backstage ma prawo odczytu.

Wtyczka @backstage/plugin-scaffolder-backend-module-confluence-to-markdown w wersjach przed 0.3.25 ma niewystarczającą walidację danych wejściowych w module konwersji Confluence do Markdown. Może to pozwolić atakującemu na wpływ na operacje zapisu plików podczas wykonywania szablonu, jeśli użytkownik Backstage uruchomi szablon przetwarzający treści Confluence kontrolowane przez atakującego.

Backstage, framework do budowy portali deweloperskich, przed wersją 1.14.6 zawiera podatność na zdalne wykonanie kodu w pakiecie @backstage/plugin-techdocs-node. Uwierzytelniony użytkownik, który może rejestrować encje katalogu, może dostarczyć spreparowany plik mkdocs.yml z polami markdown_extensions, co prowadzi do wykonania dowolnych poleceń systemu operacyjnego na hoście budującym TechDocs. Problem został naprawiony w wersjach 1.14.6 i 1.15.4.

Backstage przed wersją 4.1.0 w pakiecie @backstage/plugin-scaffolder-backend może ujawniać wartości pochodzące z sekretów w logach zadań Scaffolder. Dotyczy to instalacji, które konfigurują wrażliwe sekrety scaffolder.defaultEnvironment.secrets i pozwalają atakującemu na tworzenie lub modyfikację szablonów Scaffolder. Autor szablonu może spowodować, że wartości pochodzące z sekretów używane podczas iteracji szablonu zostaną zapisane i ujawnione użytkownikom mającym dostęp do logów zadań.

Backstage przed wersją 3.9.1 w pakiecie @backstage/plugin-catalog-backend ma niespójną ocenę uprawnień dla właściwości katalogu. W instalacjach, które używają warunków uprawnień opartych na wartościach jako granicy poufności, uwierzytelniony użytkownik może otrzymać dane encji katalogu, które autorzy polityki zamierzali ograniczyć.

Pakiet @backstage/plugin-catalog-backend w Backstage przed wersją 3.9.1 nieegzekwuje spójnie dozwolonych typów lokalizacji podczas przetwarzania katalogu. W pewnych konfiguracjach backend może przetwarzać typy lokalizacji, które nie powinny być dozwolone, co może prowadzić do niezamierzonego dostępu do plików na hoście backendu.

Backstage przed wersją 0.17.8 w pakiecie @backstage/backend-defaults ma nieprawidłową walidację danych wejściowych w czytnikach URL magazynu w chmurze. Atakujący z dostępem do zapisu do zasobnika magazynu w chmurze używanego przez Backstage może stworzyć nazwy obiektów, które mogą kolidować z chronionymi plikami w katalogu wyjściowym. W niektórych konfiguracjach może to prowadzić do wstrzyknięcia treści.

Dostawcy katalogu magazynu w chmurze w Backstage przed wersją 1.54.6 nie weryfikowali wystarczająco ścieżek obiektów. Podmiot mogący tworzyć lub zmieniać nazwy obiektów w skonfigurowanym źródle katalogu Azure Blob Storage lub AWS S3 mógł spowodować odczyt deskryptorów katalogu spoza zamierzonej granicy magazynu, ograniczony do lokalizacji osiągalnych za pomocą skonfigurowanych poświadczeń backendu.