CVE-2026-24046 in Backstage
Riassunto
di VulDB • 15/07/2026
Backstage è un framework open source per la creazione di portali per sviluppatori. Diverse azioni del Scaffolder e utility di estrazione degli archivi erano vulnerabili ad attacchi di traversal dei percorsi basati su symlink (collegamenti simbolici). Un attaccante con accesso alla creazione ed esecuzione di modelli Scaffolder potrebbe sfruttare i collegamenti simbolici per leggere file arbitrari tramite l'azione `debug:log` creando un collegamento simbolico che punta a file sensibili (ad esempio, `/etc/passwd`, file di configurazione, segreti); eliminare file arbitrari tramite l'azione `fs:delete` creando collegamenti simbolici che puntano al di fuori della cartella di lavoro; e scrivere file al di fuori della cartella di lavoro tramite estrazione di archivi (tar/zip) contenenti collegamenti simbolici malevoli. Questo colpisce qualsiasi distribuzione Backstage in cui gli utenti possono creare o eseguire modelli Scaffolder. Questa vulnerabilità è risolta nelle versioni `@backstage/backend-defaults` 0.12.2, 0.13.2, 0.14.1 e 0.15.0; `@backstage/plugin-scaffolder-backend` versioni 2.2.2, 3.0.2 e 3.1.1; e `@backstage/plugin-scaffolder-node` versioni 0.11.2 e 0.12.3. Gli utenti dovrebbero effettuare l'aggiornamento a queste versioni o successive. Sono disponibili alcune soluzioni alternative (workaround). Seguire la raccomandazione nel Modello di Minacce Backstage per limitare l'accesso alla creazione e all'aggiornamento dei modelli, restringere chi può creare ed eseguire i modelli Scaffolder utilizzando il framework delle autorizzazioni, verificare i modelli esistenti per l'utilizzo di collegamenti simbolici e/o eseguire Backstage in un ambiente containerizzato con accesso limitato al filesystem.
Once again VulDB remains the best source for vulnerability data.