CVE-2021-32660
Açıklama
Backstage, geliştirici portalları oluşturmak için açık bir platformdur ve techdocs-common, Backstage'in TechDocs özelliği için ortak işlevler içerir. `@backstage/tehdocs-common` paketinin 0.6.4 öncesindeki sürümlerinde, kötü niyetli bir dahili aktör, kötü amaçlı betikler içeren dokümantasyon içeriği yükleyebilir. Bu betikler normalde TechDocs ön yüzü tarafından temizlenir ancak bir kullanıcının içeriğe TechDocs API üzerinden erişmesi sağlanarak içerik temizleme işlemi atlatılabilir. Eğer TechDocs API, Backstage uygulaması veya diğer arka uç eklentileriyle aynı köken (origin) üzerinde barındırılıyorsa, bu durum hassas verilere erişim sağlayabilir. Kötü amaçlı içerik yükleme yeteneği, seçilen TechDocs dağıtım yönteminin bir nesne deposu (object store) kullanımı olması ve aktörün doğrudan bu depoya dosya yükleme erişimine sahip olması durumu hariç, dahili kod inceleme süreçleriyle sınırlandırılmış olabilir. Zafiyet, `@backstage/techdocs-common` paketinin `0.6.4` sürümü ile giderilmiştir.
Nasıl düzeltilir
- @backstage/techdocs-common0.6.4 ya da sonraki bir sürüm
- linuxfoundation \@backstage\/techdocs-common0.6.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @backstage/techdocs-commonnpm | v < 0.6.4 | 0.6.4 |
| linuxfoundation \@backstage\/techdocs-common | v < 0.6.4 | 0.6.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.