p PatchFirst

CVE-2026-106557

CVE-2026-106557 · Backstage: Improper input validation in TechDocs Markdown extension configuration

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Backstage is an open framework for building developer portals. Prior to 1.14.6 and 1.15.4, the @backstage/plugin-techdocs-node package did not sufficiently validate TechDocs Markdown extension configuration. An authenticated user who can register or modify documentation sources may cause a TechDocs build to access resources outside the intended documentation boundary, potentially exposing backend-host data or internal network resources. This issue is fixed in versions 1.14.6 and 1.15.4 when pymdown-extensions 10.21.3 or later is also used, normally through mkdocs-techdocs-core 1.7.0 or later.

CVSS 7.7 · Alta · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Pila tecnológica: node

Productos y versiones afectados

  • backstage

    Versiones
    • < 1.50.5: Afectada
    • >= 1.51.0-next.0, < 1.54.6: Afectada

    Sin corrección publicada

  • plugin-techdocs-node

    Versiones
    • < 1.14.6: Afectada
    • >= 1.15.0, < 1.15.4: Afectada

    Sin corrección publicada

  • @backstage/plugin-techdocs-node npm

    Intervalos de versiones afectados
    • SEMVER: < 1.15.4

    Actualiza a 1.15.4

Fuentes originales

Comprueba tu servidor →