CVE-2024-53983
Açıklama
Backstage Scaffolder eklentisi, scaffolder ile ilgili modüller oluşturmak için türler ve yardımcı programlar içerir. Backstage Scaffolder şablon işlevselliğinde, Git yapılandırma enjeksiyonu gerçekleştirmek için Sunucu Taraflı Şablon Enjeksiyonunun (SSTI) kullanılabileceği bir güvenlik açığı tespit edilmiştir. Bu açık, bir saldırganın Backstage Scaffolder eklentisi tarafından kullanılan ayrıcalıklı git token'larını ele geçirmesine olanak tanır. Bu token'lar ile git üzerindeki hassas kaynaklara yetkisiz erişim sağlanabilir. Backstage Tehdit Modeli'nin, Backstage Catalog eklentisinde şablon ekleme ve düzenleme erişiminin kısıtlanmasını önermesi nedeniyle etki orta seviyeli olarak değerlendirilmektedir. Sorun, `@backstage/plugin-scaffolder-node` paketinin `v0.4.12`, `v0.5.1` ve `v0.6.1` sürümlerinde giderilmiştir. Kullanıcıların, güvenlik açığını gidermek için bu sürümlere yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar, şablonların git yapılandırmasını değiştirmediğinden emin olmalıdır.
Nasıl düzeltilir
- @backstage/plugin-scaffolder-node0.4.12, 0.5.1, 0.6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| @backstage/plugin-scaffolder-nodenpm | v < 0.4.12, 0.5.0 ≤ v < 0.5.1, 0.6.0 ≤ v < 0.6.1 | 0.4.12, 0.5.1, 0.6.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.