CVE-2026-106486
CVE-2026-106486 · Backstage: Improper filesystem validation in Bitbucket pull-request scaffolder actions
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
Backstage is an open framework for building developer portals. Prior to 0.3.10 in @backstage/plugin-scaffolder-backend-module-bitbucket-cloud and 0.2.25 in @backstage/plugin-scaffolder-backend-module-bitbucket-server, the Bitbucket pull-request Scaffolder actions did not sufficiently validate filesystem paths. An authenticated user who can execute an eligible template and influence an allowed Bitbucket repository could affect paths outside the expected working area, potentially compromising backend confidentiality, integrity, or availability. This issue is fixed in @backstage/plugin-scaffolder-backend-module-bitbucket-cloud 0.3.10 and @backstage/plugin-scaffolder-backend-module-bitbucket-server 0.2.25.
CVSS 8.5 · Élevée · EPSS 0,4% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: node
Produits et versions concernés
backstage
- Versions du logiciel
- < 1.54.6: Concernée
Aucun correctif publié
plugin-scaffolder-backend-module-bitbucket-cloud
- Versions du logiciel
- < 0.3.10: Concernée
Aucun correctif publié
plugin-scaffolder-backend-module-bitbucket-server
- Versions du logiciel
- < 0.2.25: Concernée
Aucun correctif publié
@backstage/plugin-scaffolder-backend-module-bitbucket-cloud npm
- Plages de versions concernées
- SEMVER: < 0.3.10
Mettez à jour vers 0.3.10
@backstage/plugin-scaffolder-backend-module-bitbucket-server npm
- Plages de versions concernées
- SEMVER: < 0.2.25
Mettez à jour vers 0.2.25