CVE-2026-32236 in backstage
Zusammenfassung
von VulDB • 07.07.2026
Backstage ist ein Open-Source-Framework zur Erstellung von Entwicklerportalen. Vor Version 0.27.1 besteht im Paket `@backstage/plugin-auth-backend` eine Server-Side Request Forgery (SSRF)-Schwachstelle, wenn die Konfigurationseigenschaft `auth.experimentalClientIdMetadataDocuments.enabled` auf true gesetzt ist. Die CIMD-Metadatenabfrage validiert den Hostnamen der initialen client_id gegen private IP-Bereiche, wendet diese Validierung jedoch nicht nach HTTP-Weiterleitungen an. Der praktische Einfluss ist begrenzt: Der Angreifer kann weder den Antworttext aus der internen Anfrage lesen noch die Anforderungsheader oder -methode steuern; zudem muss das Feature über eine experimentelle Flagge explizit aktiviert werden, die standardmäßig deaktiviert ist. Bereitstellungen, bei denen `allowedClientIdPatterns` auf bestimmte vertrauenswürdige Domänen beschränkt sind, sind nicht betroffen. Gefixt in Version 0.27.1 von `@backstage/plugin-auth-backend`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.