p PatchFirst

CVE-2026-106498

CVE-2026-106498 · Backstage: Improper URL validation in catalog entity placeholder resolution

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Backstage is an open framework for building developer portals. Prior to 3.5.1, 3.6.2, 3.7.2, 3.8.2 and 3.9.1, the @backstage/plugin-catalog-backend package is affected by improper url validation in catalog entity placeholder resolution. An authenticated Backstage user could craft a catalog entity with placeholder directives that reference resources outside the entity's source repository. Under certain configurations, this could allow access to data not intended to be available to the user. This issue is fixed in versions 3.5.1, 3.6.2, 3.7.2, 3.8.2 and 3.9.1.

CVSS 7.7 · Hoch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • backstage

    Softwareversionen
    • < 1.49.6: Betroffen
    • >= 1.50.0-next.0, < 1.50.5: Betroffen
    • >= 1.51.0-next.0, < 1.51.3: Betroffen
    • >= 1.52.0-next.0, < 1.53.2: Betroffen
    • >= 1.54.0-next.0, < 1.54.6: Betroffen

    Keine Korrektur veröffentlicht

  • plugin-catalog-backend

    Softwareversionen
    • < 3.5.1: Betroffen
    • >= 3.6.0, < 3.6.2: Betroffen
    • >= 3.7.0, < 3.7.2: Betroffen
    • >= 3.8.0, < 3.8.2: Betroffen
    • >= 3.9.0, < 3.9.1: Betroffen

    Keine Korrektur veröffentlicht

  • @backstage/plugin-catalog-backend npm

    Betroffene Versionsbereiche
    • SEMVER: < 3.9.1

    Auf 3.9.1 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →