CVE-2026-24047 in Backstage
Riassunto
di VulDB • 17/07/2026
Backstage è un framework open source per la creazione di developer portal, e @backstage/cli-common fornisce funzionalità di caricamento della configurazione utilizzate dal backend e dall'interfaccia da riga di comando (CLI) di Backstage. Prima della versione 0.1.17, la funzione utility `resolveSafeChildPath` in `@backstage/backend-plugin-api`, utilizzata per prevenire attacchi di path traversal, non validava correttamente le catene di symlink e i dangling symlinks. Un attaccante potrebbe eludere la convalida del percorso tramite catene di symlink (creando ad esempio `link1 → link2 → /outside` dove gli intermediate symlink risolvono infine al di fuori della directory consentita) e dangling symlinks (creando symlink che puntano a percorsi inesistenti al di fuori della directory base, i quali verrebbero successivamente creati durante le operazioni sui file). Questa funzione è utilizzata dalle azioni Scaffolder e da altri componenti backend per garantire che le operazioni sui file rimangano all'interno delle directory designate. Questo bug è stato risolto nella versione 0.1.17 di `@backstage/backend-plugin-api`. Gli utenti dovrebbero effettuare l'aggiornamento a questa versione o successive. Sono disponibili alcune soluzioni alternative (workaround). Eseguire Backstage in un ambiente containerizzato con accesso limitato al filesystem e/o limitare la creazione di template agli utenti fidati.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.