p PatchFirst

CVE-2026-106492

CVE-2026-106492 · Backstage: Improper preservation of access restrictions during service credential delegation

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Backstage is an open framework for building developer portals. Prior to 0.16.1 and 0.17.8, the @backstage/backend-defaults package is affected by improper preservation of access restrictions during service credential delegation. An external service credential configured with access restrictions (e.g., read-only) could bypass those restrictions by routing requests through plugin delegation paths. This could allow a restricted service to perform operations beyond its intended scope, including write operations on plugins it was restricted to read-only access for. This issue is fixed in versions 0.16.1 and 0.17.8.

CVSS 7.6 · Высокий · EPSS 0,2% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • backstage

    Версии
    • < 1.49.6: Затронуто
    • >= 1.50.0-next.0, < 1.54.6: Затронуто

    Нет опубликованного исправления

  • backend-defaults

    Версии
    • < 0.16.1: Затронуто
    • >= 0.17.0, < 0.17.8: Затронуто

    Нет опубликованного исправления

  • @backstage/backend-defaults npm

    Затронутые диапазоны версий
    • SEMVER: < 0.17.8

    Обновитесь до 0.17.8

Первоисточники

Проверьте свой сервер →