CVE-2026-106558
Açıklama
Backstage, geliştirici portalları oluşturmak için kullanılan açık bir çerçevedir. 1.14.8, 1.15.6 ve 2.0.1 sürümlerinden önce, @backstage/plugin-techdocs-node paketi eşleme tarzındaki markdown_extensions yapılandırmasını uygun şekilde doğrulamıyordu. SCM destekli bir dokümantasyon kaynağı kaydedebilen veya etkileyebilen kimliği doğrulanmış bir saldırgan, TechDocs temizleme işlemini atlayabilir ve jeneratör çalışma zamanında Python nesnelerinin içe aktarılmasına ve örneklendirilmesine neden olarak rastgele kod çalıştırılmasına yol açabilir. 1.14.6 ve 1.15.4 sürümlerindeki önceki düzeltmeler, markdown_extensions'ın desteklenen eşleme temsilini tam olarak ele almamıştır. Etki; dokümantasyon oluşturma işlemi arka uç kimlik bilgileri, dosya sistemi erişimi veya dahili ağ erişimi ile çalıştığında en yüksektir. Bu sorun 1.14.8, 1.15.6 ve 2.0.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- linuxfoundation backstage_plugin-techdocs-node1.14.8, 1.15.6, 2.0.1 ya da sonraki bir sürüm
- linuxfoundation backstage1.50.7, 1.54.8, 1.55.2 ya da sonraki bir sürüm
- @backstage/plugin-techdocs-node1.15.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| linuxfoundation backstage_plugin-techdocs-node | v < 1.14.8, 1.15.0 ≤ v < 1.15.6, 2.0.0 ≤ v < 2.0.1 | 1.14.8, 1.15.6, 2.0.1 |
| linuxfoundation backstage | v < 1.50.7, 1.51.1 ≤ v < 1.54.8, 1.55.1 ≤ v < 1.55.2, 1.51.0, 1.55.0 | 1.50.7, 1.54.8, 1.55.2 |
| @backstage/plugin-techdocs-nodenpm | v < 1.15.4 | 1.15.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.