CVE-2026-24048

Backstage, geliştirici portalları oluşturmak için açık bir çerçevedir ve @backstage/backend-defaults standart bir Backstage backend uygulaması için varsayılan uygulamaları ve kurulumu sağlar. 0.12.2, 0.13.2, 0.14.1 ve 0.15.0 sürümlerinden önce, katalog ve diğer eklentiler tarafından URL'lerden içerik çekmek için kullanılan `FetchUrlReader` bileşeni, HTTP yönlendirmelerini otomatik olarak takip ediyordu. Bu durum, `backend.reading.allow` listesinde yer alan bir ana bilgisayarı kontrol eden bir saldırganın, istekleri izin verilenler listesinde olmayan dahili veya hassas URL'lere yönlendirerek URL izin listesi güvenlik kontrolünü atlatmasına olanak tanıyordu. Bu, dahili kaynaklara erişime izin verebilen bir Sunucu Taraflı İstek Sahteciliği (SSRF) zafiyetidir ancak saldırganların ek istek başlıkları eklemesine izin vermez. Bu zafiyet, `@backstage/backend-defaults` sürüm 0.12.2, 0.13.2, 0.14.1 ve 0.15.0 sürümlerinde düzeltilmiştir. Kullanıcılar bu sürümlere veya daha yeni sürümlere yükseltmelidir. Bazı geçici çözümler mevcuttur: `backend.reading.allow` kısmını yalnızca kontrol ettiğiniz ve yönlendirme yapmayan güvenilir ana bilgisayarlarla sınırlandırın, izin verilen ana bilgisayarların açık yönlendirme zafiyetlerine sahip olmadığından emin olun ve/veya Backstage'den hassas dahili uç noktalara erişimi engellemek için ağ düzeyinde kontroller kullanın.