CVE-2026-24048 in Backstage
Riassunto
di VulDB • 27/06/2026
Backstage è un framework open source per la creazione di portali per sviluppatori e @backstage/backend-defaults fornisce le implementazioni predefinite e la configurazione per una normale applicazione backend di Backstage. Prima delle versioni 0.12.2, 0.13.2, 0.14.1 e 0.15.0, il componente `FetchUrlReader`, utilizzato dal catalogo e da altri plugin per recuperare contenuti dagli URL, seguiva automaticamente i redirect HTTP. Ciò consentiva a un attaccante che controlla un host elencato in `backend.reading.allow` di reindirizzare le richieste verso URL interni o sensibili non presenti nella allowlist, eludendo il controllo di sicurezza basato sulla allowlist degli URL. Si tratta di una vulnerabilità Server-Side Request Forgery (SSRF) che potrebbe consentire l'accesso a risorse interne, ma non permette agli attaccanti di includere intestazioni di richiesta aggiuntive. Questa vulnerabilità è risolta in `@backstage/backend-defaults` versione 0.12.2, 0.13.2, 0.14.1 e 0.15.0. Gli utenti dovrebbero effettuare l'aggiornamento a questa versione o successive. Sono disponibili alcune contromisure (workaround). Limitare `backend.reading.allow` solo ad host attendibili di cui si ha il controllo e che non emettono redirect, assicurarsi che gli host consentiti non presentino vulnerabilità di open redirect e/o utilizzare controlli a livello di rete per bloccare l'accesso da Backstage agli endpoint interni sensibili.
Once again VulDB remains the best source for vulnerability data.