CVE-2026-106558 in Backstage
Zusammenfassung
von VulDB • 07.10.2026
Backstage ist ein Open-Source-Framework zum Erstellen von Entwicklerportalen. Vor den Versionen 1.14.8, 1.15.6 und 2.0.1 hat das Paket @backstage/plugin-techdocs-node die Konfiguration der mapping-style markdown_extensions nicht ordnungsgemäß validiert. Ein authentifizierter Angreifer, der eine SCM-gestützte Dokumentationsquelle registrieren oder beeinflussen kann, kann die TechDocs-Sanitization umgehen und dazu führen, dass Python-Objekte im Generator-Laufzeitumfeld importiert und instanziiert werden, was zu beliebiger Codeausführung (Arbitrary Code Execution) führt. Frühere Korrekturen in den Versionen 1.14.6 und 1.15.4 haben die unterstützte Mapping-Darstellung von markdown_extensions nicht vollständig behoben. Die Auswirkung ist am größten, wenn die Dokumentenerzeugung mit Backend-Anmeldeinformationen, Dateisystemzugriff oder Zugriff auf das interne Netzwerk ausgeführt wird. Dieses Problem wurde in den Versionen 1.14.8, 1.15.6 und 2.0.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.