p PatchFirst

CVE-2026-106499

CVE-2026-106499 · Backstage: Secret-derived values may be exposed in scaffolder task logs

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Backstage is an open framework for building developer portals. Prior to 4.1.0, the @backstage/plugin-scaffolder-backend package could expose secret-derived values in Scaffolder task logs. Deployments that configure sensitive scaffolder.defaultEnvironment.secrets and allow an attacker to create or modify Scaffolder templates are affected. A template author could cause secret-derived values used during template iteration to be persisted and exposed to users who can access the resulting task logs. This issue is fixed in version 4.1.0.

CVSS 4.9 · Средний · EPSS 0,3% · Есть исправление

Опубликовано
Обновлено

Стек: node

Затронутые продукты и версии

  • backstage

    Версии
    • < 1.54.6: Затронуто

    Нет опубликованного исправления

  • plugin-scaffolder-backend

    Версии
    • < 4.1.0: Затронуто

    Нет опубликованного исправления

  • @backstage/plugin-scaffolder-backend npm

    Затронутые диапазоны версий
    • SEMVER: < 4.1.0

    Обновитесь до 4.1.0

Первоисточники

Проверьте свой сервер →