CVE-2026-25153

Backstage, geliştirici portalları oluşturmak için açık bir çerçevedir ve @backstage/plugin-techdocs-node, TechDocs için ortak node.js işlevleri sağlar. @backstage/plugin-techdocs-node'un 1.13.11 ve 1.14.1 öncesindeki sürümlerinde, TechDocs `runIn: local` şeklinde yapılandırıldığında, bir depo içerisindeki `mkdocs.yml` dosyasını gönderebilen veya değiştirebilen kötü niyetli bir aktör, MkDocs hook yapılandırması aracılığıyla TechDocs derleme sunucusunda rastgele Python kodu çalıştırabilir. @backstage/plugin-techdocs-node 1.13.11 ve 1.14.1 sürümleri bir düzeltme içermektedir. Bu düzeltme, desteklenen MkDocs yapılandırma anahtarlarından oluşan bir izin listesi getirmektedir. Desteklenmeyen yapılandırma anahtarları (`hooks` dahil), jeneratör çalıştırılmadan önce `mkdocs.yml` dosyasından kaldırılır ve hangi anahtarların kaldırıldığını belirten bir uyarı günlüğe kaydedilir. `@techdocs/cli` kullanıcıları, düzeltilmiş `@backstage/plugin-techdocs-node` bağımlılığını içeren en son sürüme yükseltmelidir. Bazı geçici çözümler mevcuttur. Konteyner izolasyonu sağlamak için TechDocs'u `runIn: local` yerine `runIn: docker` ile yapılandırın, ancak bu durum riski tamamen ortadan kaldırmaz. TechDocs tarafından işlenen depolardaki `mkdocs.yml` dosyalarını kimlerin değiştirebileceğini sınırlayın; yalnızca güvenilen katılımcılara izin verin. Kötü niyetli `hooks` yapılandırmalarını birleştirilmeden önce tespit etmek için `mkdocs.yml` dosyalarındaki değişiklikler için PR inceleme gereksinimlerini uygulayın. Hook'ları desteklemeyen MkDocs < 1.4.0 (örneğin 1.3.1) sürümünü kullanın. Not: Bu durum, yeni MkDocs özelliklerine erişimi kısıtlayabilir. Dokümantasyonun `@techdocs/cli` kullanılarak CI/CD hatlarında derlenmesi, CLI aynı savunmasız `@backstage/plugin-techdocs-node` paketini kullandığı için bu güvenlik açığını gidermez.