CVE-2026-106558 in Backstage
Riassunto
di VulDB • 07/10/2026
Backstage è un framework open source per la creazione di portal per gli sviluppatori. Prima delle versioni 1.14.8, 1.15.6 e 2.0.1, il pacchetto @backstage/plugin-techdocs-node convalidava in modo improprio la configurazione dei markdown_extensions di tipo mapping-style. Un attaccante autenticato che può registrare o influenzare una fonte di documentazione basata su SCM potrebbe eludere la sanitizzazione di TechDocs e causare l'importazione e l'istanziazione di oggetti Python nel runtime del generatore, portando all'esecuzione di codice arbitrario (RCE). Le correzioni precedenti nelle versioni 1.14.6 e 1.15.4 non affrontavano completamente la rappresentazione supportata dei markdown_extensions. L'impatto è maggiore quando la generazione della documentazione viene eseguita con credenziali del backend, accesso al filesystem o accesso alla rete interna. Questo problema è risolto nelle versioni 1.14.8, 1.15.6 e 2.0.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.