CVE-2026-106486
CVE-2026-106486 · Backstage: Improper filesystem validation in Bitbucket pull-request scaffolder actions
Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.
Backstage is an open framework for building developer portals. Prior to 0.3.10 in @backstage/plugin-scaffolder-backend-module-bitbucket-cloud and 0.2.25 in @backstage/plugin-scaffolder-backend-module-bitbucket-server, the Bitbucket pull-request Scaffolder actions did not sufficiently validate filesystem paths. An authenticated user who can execute an eligible template and influence an allowed Bitbucket repository could affect paths outside the expected working area, potentially compromising backend confidentiality, integrity, or availability. This issue is fixed in @backstage/plugin-scaffolder-backend-module-bitbucket-cloud 0.3.10 and @backstage/plugin-scaffolder-backend-module-bitbucket-server 0.2.25.
CVSS 8.5 · Высокий · EPSS 0,4% · Есть исправление
- Опубликовано
- Обновлено
Стек: node
Затронутые продукты и версии
backstage
- Версии
- < 1.54.6: Затронуто
Нет опубликованного исправления
plugin-scaffolder-backend-module-bitbucket-cloud
- Версии
- < 0.3.10: Затронуто
Нет опубликованного исправления
plugin-scaffolder-backend-module-bitbucket-server
- Версии
- < 0.2.25: Затронуто
Нет опубликованного исправления
@backstage/plugin-scaffolder-backend-module-bitbucket-cloud npm
- Затронутые диапазоны версий
- SEMVER: < 0.3.10
Обновитесь до 0.3.10
@backstage/plugin-scaffolder-backend-module-bitbucket-server npm
- Затронутые диапазоны версий
- SEMVER: < 0.2.25
Обновитесь до 0.2.25