p PatchFirst

CVE-2026-106557

CVE-2026-106557 · Backstage: Improper input validation in TechDocs Markdown extension configuration

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

Backstage is an open framework for building developer portals. Prior to 1.14.6 and 1.15.4, the @backstage/plugin-techdocs-node package did not sufficiently validate TechDocs Markdown extension configuration. An authenticated user who can register or modify documentation sources may cause a TechDocs build to access resources outside the intended documentation boundary, potentially exposing backend-host data or internal network resources. This issue is fixed in versions 1.14.6 and 1.15.4 when pymdown-extensions 10.21.3 or later is also used, normally through mkdocs-techdocs-core 1.7.0 or later.

CVSS 7.7 · Hoch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Technologie-Stack: node

Betroffene Produkte und Versionen

  • backstage

    Softwareversionen
    • < 1.50.5: Betroffen
    • >= 1.51.0-next.0, < 1.54.6: Betroffen

    Keine Korrektur veröffentlicht

  • plugin-techdocs-node

    Softwareversionen
    • < 1.14.6: Betroffen
    • >= 1.15.0, < 1.15.4: Betroffen

    Keine Korrektur veröffentlicht

  • @backstage/plugin-techdocs-node npm

    Betroffene Versionsbereiche
    • SEMVER: < 1.15.4

    Auf 1.15.4 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →