CVE-2026-25153

Backstage tərtibatçı portallarının qurulması üçün açıq çərçivədir və @backstage/plugin-techdocs-node TechDocs üçün ümumi node.js funksionallıqlarını təmin edir. @backstage/plugin-techdocs-node-un 1.13.11 və 1.14.1 versiyalarından əvvəlki versiyalarda, TechDocs `runIn: local` ilə konfiqurasiya edildikdə, repozitoriyanın `mkdocs.yml` faylını göndərə və ya dəyişdirə bilən zərərli aktor MkDocs hook-larının konfiqurasiyası vasitəsilə TechDocs build serverində ixtiyari Python kodunu icra edə bilər. @backstage/plugin-techdocs-node-un 1.13.11 və 1.14.1 versiyaları bu problemi aradan qaldırır. Düzəliş dəstəklənən MkDocs konfiqurasiya açarlarının ağ siyahısını tətbiq edir. Generator işə düşməzdən əvvəl dəstəklənməyən konfiqurasiya açarları (`hooks` daxil olmaqla) `mkdocs.yml` faylından silinir və hansı açarların silindiyini göstərən xəbərdarlıq qeyd edilir. `@techdocs/cli` istifadəçiləri həmçinin düzəldilmiş `@backstage/plugin-techdocs-node` asılılığını ehtiva edən ən son versiyaya yüksəltmə etməlidirlər. Bəzi müvəqqəti həll yolları mövcuddur. Konteyner izolyasiyasını təmin etmək üçün TechDocs-u `runIn: local` əvəzinə `runIn: docker` ilə konfiqurasiya edin, lakin bu riskləri tamamilə aradan qaldırmır. TechDocs-un emal etdiyi repozitoriyalarda `mkdocs.yml` fayllarını kimlərin dəyişdirə biləcəyini məhdudlaşdırın; yalnız etibarlı kontribütorlara icazə verin. Zərərli `hooks` konfiqurasiyalarını birləşdirilməzdən əvvəl aşkar etmək üçün `mkdocs.yml` fayllarına gətirilən dəyişikliklər üçün PR baxışı tələblərini tətbiq edin. Hook-ları dəstəkləməyən MkDocs < 1.4.0 (məsələn, 1.3.1) versiyasından istifadə edin. Qeyd: Bu, yeni MkDocs funksiyalarına girişi məhdudlaşdıra bilər. Sənədləşmənin `@techdocs/cli` vasitəsilə CI/CD boru kəmərlərində qurulması bu boşluğu aradan qaldırmır, çünki CLI eyni zəif `@backstage/plugin-techdocs-node` paketindən istifadə edir.