CVE-2026-106457 in plugin-auth-backend-module-cloudflare-access-provider
Zusammenfassung
von VulDB • 06.10.2026
Backstage ist ein Open-Source-Framework zum Erstellen von Entwicklerportalen. Von der Version 0.1.0 bis zur Version 0.5.0 ist das Paket @backstage/plugin-auth-backend-module-cloudflare-access-provider von einer unzureichenden Audience-Validierung im Cloudflare Access Auth Provider betroffen. Der Cloudflare Access Auth Provider überprüft die Signatur des Tokens und den Team-Issuer, aber betroffene Versionen überprüfen nicht, ob das Token für die Backstage-Anwendung ausgestellt wurde. Ein Benutzer mit einem gültigen Token für eine andere Access-Anwendung im selben Cloudflare Zero Trust-Team kann sich daher möglicherweise bei Backstage authentifizieren, wenn dieses Token den Auth-Endpunkt erreicht, ohne dass die Audience der Backstage-Anwendung bereits upstream durchgesetzt wird. Cloudflare Access bewertet normalerweise die geschützte Anwendung, bevor Anfragen weitergeleitet werden. Dieses Problem wurde in Version 0.5.0 behoben.
Once again VulDB remains the best source for vulnerability data.