CVE-2026-24048

Backstage tərtibatçı portallarının qurulması üçün açıq çərçivədir və @backstage/backend-defaults standart Backstage backend tətbiqi üçün standart tətbiqləri və quraşdırmanı təmin edir. 0.12.2, 0.13.2, 0.14.1 və 0.15.0 versiyalarından əvvəl kataloq və digər plaginlər tərəfindən URL-lərdən məzmunu götürmək üçün istifadə edilən `FetchUrlReader` komponenti HTTP yönləndirmələrini avtomatik izləyirdi. Bu, `backend.reading.allow` siyahısında olan bir hostu idarə edən hücumçuya sorğuları icazəli siyahıda olmayan daxili və ya həssas URL-lərə yönləndirməyə və beləliklə URL icazəli siyahısı təhlükəsizlik nəzarətindən yan keçməyə imkan verirdi. Bu, daxili resurslara girişi təmin edə bilən Server-Side Request Forgery (SSRF) zəifliyidir, lakin hücumçulara əlavə sorğu başlıqlarını daxil etməyə imkan vermir. Bu zəiflik `@backstage/backend-defaults` versiya 0.12.2, 0.13.2, 0.14.1 və 0.15.0-da aradan qaldırılıb. İstifadəçilər bu versiyaya və ya daha yenisinə keçid etməlidirlər. Bəzi müvəqqəti həll yolları mövcuddur: `backend.reading.allow` siyahısını yalnız sizin idarə etdiyiniz və yönləndirmə etməyən etibarlı hostlarla məhdudlaşdırın, icazə verilmiş hostlarda açıq yönləndirmə (open redirect) zəifliklərinin olmadığından əmin olun və/və ya Backstage-dən həssas daxili son nöqtələrə girişi bloklamaq üçün şəbəkə səviyyəsində nəzarət vasitələrindən istifadə edin.