Më 7 tetor 2026, GitHub publikoi këshillën e sigurisë GHSA-g2v8-7jhw-pp8p (CVE-2026-106501) për një dobësi me rrezikshmëri kritike (CVSS 9.6) në paketën @backstage/plugin-scaffolder-backend të ekosistemit npm. Dobësia prek gjithsej 4 paketa.
Paketat e prekura
- @backstage/plugin-scaffolder-backend (npm) — versionet e prekura:
< 3.3.1; versioni me rregullim:3.3.1 - @backstage/plugin-scaffolder-backend (npm) — versionet e prekura:
>= 3.4.0, < 3.4.1; versioni me rregullim:3.4.1 - @backstage/plugin-scaffolder-backend (npm) — versionet e prekura:
>= 4.0.0, < 4.0.3; versioni me rregullim:4.0.3 - @backstage/plugin-scaffolder-backend (npm) — versionet e prekura:
>= 4.0.4, < 4.1.0; versioni me rregullim:4.1.0
Detaje
- Rrezikshmëria: Kritike (CVSS 9.6)
- CWE: CWE-200 (Exposure of Sensitive Information to an Unauthorized Actor), CWE-201 (Insertion of Sensitive Information Into Sent Data)
- Identifikuesit: GHSA-g2v8-7jhw-pp8p, CVE-2026-106501
Përmbledhja zyrtare
Backstage: Ekspozim i informacionit të ndjeshëm në Scaffolder
Një përdorues i autentikuar në Backstage, i cili ka leje të lexojë detyrën Scaffolder të një përdoruesi tjetër, mund të marrë të dhëna të brendshme të ekzekutimit. Në instalimet ku këto të dhëna përmbajnë kredenciale për një shërbim të jashtëm, cenueshmëria mund të lejojë zbulimin e tyre dhe kryerjen e ndryshimeve të paautorizuara në atë shërbim.
Problemi është korrigjuar në versionin 4.1.0 të paketës @backstage/plugin-scaffolder-backend. Si masë alternative, konfiguroni scaffolder.task.read me kushtin isTaskOwner, në mënyrë që përdoruesit të mund të lexojnë vetëm detyrat që kanë krijuar vetë.
Derisa të jetë i disponueshëm përditësimi, kufizoni përdorimin e integrimeve dhe rrjedhave të punës të prekura vetëm te operatorët e besuar.
Çfarë duhet të bëni
Nëse projektet tuaja përdorin @backstage/plugin-scaffolder-backend, përditësojeni sa më shpejt në versionin 3.3.1 ose më të ri.
