p PatchFirst

CVE-2026-106487

CVE-2026-106487 · Backstage: Unsupported catalog cluster authentication mode in kubernetes backend

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Backstage is an open framework for building developer portals. Prior to 0.21.10, the @backstage/plugin-kubernetes-backend package is affected by unsupported catalog cluster authentication mode in kubernetes backend. Deployments using catalog cluster discovery may be affected when catalog contributors can create or modify kubernetes-cluster Resource entities. With the required endpoint permissions and pod RBAC, the backend can use its local in-cluster identity, potentially exposing Kubernetes resources readable by that identity. The credential is used only with the local in-cluster API endpoint and is not sent to the catalog-supplied endpoint. This issue is fixed in version 0.21.10.

CVSS 3.5 · Низкий · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • backstage

    Версии
    • < 1.54.6: Затронуто

    Нет опубликованного исправления

  • plugin-kubernetes-backend

    Версии
    • < 0.21.10: Затронуто

    Нет опубликованного исправления

  • @backstage/plugin-kubernetes-backend npm

    Затронутые диапазоны версий
    • SEMVER: < 0.21.10

    Обновитесь до 0.21.10

Первоисточники

Проверьте свой сервер →