CVE-2026-106486
CVE-2026-106486 · Backstage: Improper filesystem validation in Bitbucket pull-request scaffolder actions
Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.
Backstage is an open framework for building developer portals. Prior to 0.3.10 in @backstage/plugin-scaffolder-backend-module-bitbucket-cloud and 0.2.25 in @backstage/plugin-scaffolder-backend-module-bitbucket-server, the Bitbucket pull-request Scaffolder actions did not sufficiently validate filesystem paths. An authenticated user who can execute an eligible template and influence an allowed Bitbucket repository could affect paths outside the expected working area, potentially compromising backend confidentiality, integrity, or availability. This issue is fixed in @backstage/plugin-scaffolder-backend-module-bitbucket-cloud 0.3.10 and @backstage/plugin-scaffolder-backend-module-bitbucket-server 0.2.25.
CVSS 8.5 · Hoch · EPSS 0,4% · Korrektur verfügbar
- Veröffentlicht
- Aktualisiert
Technologie-Stack: node
Betroffene Produkte und Versionen
backstage
- Softwareversionen
- < 1.54.6: Betroffen
Keine Korrektur veröffentlicht
plugin-scaffolder-backend-module-bitbucket-cloud
- Softwareversionen
- < 0.3.10: Betroffen
Keine Korrektur veröffentlicht
plugin-scaffolder-backend-module-bitbucket-server
- Softwareversionen
- < 0.2.25: Betroffen
Keine Korrektur veröffentlicht
@backstage/plugin-scaffolder-backend-module-bitbucket-cloud npm
- Betroffene Versionsbereiche
- SEMVER: < 0.3.10
Auf 0.3.10 aktualisieren
@backstage/plugin-scaffolder-backend-module-bitbucket-server npm
- Betroffene Versionsbereiche
- SEMVER: < 0.2.25
Auf 0.2.25 aktualisieren