CVE-2026-106558 in Backstage
الملخص
بحسب VulDB • 07/10/2026
Backstage هو إطار عمل مفتوح المصدر لبناء بوابات المطورين. قبل الإصدارات 1.14.8 و1.15.6 و2.0.1، كان حزمة @backstage/plugin-techdocs-node تقوم بالتحقق بشكل غير صحيح من تكوين markdown_extensions بأسلوب التوجيه (mapping-style). يمكن لمهاجم مُصادق عليه والذي يستطيع تسجيل مصدر توثيق مدعوم بنظام إدارة مصادر المصدر (SCM) أو التأثير فيه، أن يتجاوز عملية تنقية TechDocs ويتسبب في استيراد وت instantiation كائنات Python في وقت تشغيل المولد (generator runtime)، مما يؤدي إلى تنفيذ عشوائي للأوامر. لم تعالج الإصلاحات السابقة في الإصدارات 1.14.6 و1.15.4 بشكل كامل تمثيل التوجيه المدعوم لـ markdown_extensions. يكون التأثير أكبر عندما يتم توليد التوثيق باستخدام بيانات اعتماد الخلفية (backend credentials)، أو الوصول إلى نظام الملفات، أو الوصول إلى الشبكة الداخلية. تمت معالجة هذه المشكلة في الإصدارات 1.14.8 و1.15.6 و2.0.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.