p PatchFirst

CVE-2026-106498

CVE-2026-106498 · Backstage: Improper URL validation in catalog entity placeholder resolution

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Backstage is an open framework for building developer portals. Prior to 3.5.1, 3.6.2, 3.7.2, 3.8.2 and 3.9.1, the @backstage/plugin-catalog-backend package is affected by improper url validation in catalog entity placeholder resolution. An authenticated Backstage user could craft a catalog entity with placeholder directives that reference resources outside the entity's source repository. Under certain configurations, this could allow access to data not intended to be available to the user. This issue is fixed in versions 3.5.1, 3.6.2, 3.7.2, 3.8.2 and 3.9.1.

CVSS 7.7 · Alta · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • backstage

    Versiones
    • < 1.49.6: Afectada
    • >= 1.50.0-next.0, < 1.50.5: Afectada
    • >= 1.51.0-next.0, < 1.51.3: Afectada
    • >= 1.52.0-next.0, < 1.53.2: Afectada
    • >= 1.54.0-next.0, < 1.54.6: Afectada

    Sin corrección publicada

  • plugin-catalog-backend

    Versiones
    • < 3.5.1: Afectada
    • >= 3.6.0, < 3.6.2: Afectada
    • >= 3.7.0, < 3.7.2: Afectada
    • >= 3.8.0, < 3.8.2: Afectada
    • >= 3.9.0, < 3.9.1: Afectada

    Sin corrección publicada

  • @backstage/plugin-catalog-backend npm

    Intervalos de versiones afectados
    • SEMVER: < 3.9.1

    Actualiza a 3.9.1

Fuentes originales

Comprueba tu servidor →