CVE-2026-106562
CVE-2026-106562 · Backstage: Incorrect authorization in search engine permission filtering
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
Backstage is an open framework for building developer portals. Prior to 2.1.6 in @backstage/plugin-search-backend and 1.8.7 in @backstage/plugin-search-backend-module-elasticsearch, search engine permission filtering could return documents denied by policy. An authenticated Backstage user subject to a DENY policy for search document types could receive unauthorized results in deployments with permission.enabled set to true and an Elasticsearch or OpenSearch backend. This issue is fixed in @backstage/plugin-search-backend 2.1.6 and @backstage/plugin-search-backend-module-elasticsearch 1.8.7.
CVSS 4.3 · Media · EPSS 0,2% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: node
Productos y versiones afectados
backstage
- Versiones
- < 1.54.1: Afectada
Sin corrección publicada
plugin-search-backend
- Versiones
- < 2.1.6: Afectada
Sin corrección publicada
plugin-search-backend-module-elasticsearch
- Versiones
- < 1.8.7: Afectada
Sin corrección publicada
@backstage/plugin-search-backend npm
- Intervalos de versiones afectados
- SEMVER: < 2.1.6
Actualiza a 2.1.6
@backstage/plugin-search-backend-module-elasticsearch npm
- Intervalos de versiones afectados
- SEMVER: < 1.8.7
Actualiza a 1.8.7