CVE-2026-24046

Backstage tərtibatçı portallarının qurulması üçün açıq çərçivədir. Bir çox Scaffolder hərəkətləri və arxiv çıxarma alətləri simvolik linklərə (symlink) əsaslanan yol keçidi (path traversal) hücumlarına qarşı həssas idi. Scaffolder şablonlarını yaratmaq və icra etmək imkanı olan hücumçu, həssas fayllara (məsələn, `/etc/passwd`, konfiqurasiya faylları, sirlər) yönəlmiş simvolik linklər yaradaraq `debug:log` hərəkəti vasitəsilə istənilən faylı oxuya; iş sahəsindən kənara yönəlmiş simvolik linklər yaradaraq `fs:delete` hərəkəti vasitəsilə istənilən faylı silə və zərərli simvolik linklər ehtiva edən arxivlərin (tar/zip) çıxarılması yolu ilə iş sahəsindən kənarda fayllar yaza bilərdi. Bu, istifadəçilərin Scaffolder şablonları yarada və ya icra edə bildiyi bütün Backstage tətbiqlərinə təsir edir. Bu boşluq `@backstage/backend-defaults` versiyaları 0.12.2, 0.13.2, 0.14.1 və 0.15.0; `@backstage/plugin-scaffolder-backend` versiyaları 2.2.2, 3.0.2 və 3.1.1; və `@backstage/plugin-scaffolder-node` versiyaları 0.11.2 və 0.12.3-də aradan qaldırılıb. İstifadəçilər bu versiyalara və ya daha yenilərinə keçid etməlidirlər. Bəzi müvəqqəti həll yolları mövcuddur. Şablonların yaradılmasına və yenilənməsinə girişi məhdudlaşdırmaq, icazələr çərçivəsindən istifadə edərək kimlərin Scaffolder şablonları yarada və icra edə biləcəyini məhdud etmək, mövcud şablonlarda simvolik linklərin istifadəsini audit etmək və/və ya Backstage-i fayl sisteminə girişin məhdud olduğu konteynerləşdirilmiş mühitdə işlətmək üçün Backstage Təhlükə Modeli (Threat Model) tövsiyələrinə əməl edin.