جزئیات آسیب‌پذیری
CVE-2026-106501
backstage backstagebackstage plugin-scaffolder-backend
Backstage: Sensitive information exposure in Scaffolder
CVSS 3.1
9.6بحرانی
شرح رسمی (انگلیسی)
Backstage is an open framework for building developer portals. Prior to 3.3.1, 3.4.1, 4.0.3 and 4.1.0, the @backstage/plugin-scaffolder-backend package is affected by sensitive information exposure in scaffolder. An authenticated Backstage user who can read another user's Scaffolder task may receive internal execution data. In deployments where that data contains credentials for an external service, this may permit disclosure and unauthorized changes in that external service. This issue is fixed in versions 3.3.1, 3.4.1, 4.0.3 and 4.1.0.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 9.6بحرانی | 3.1 | CVEProject cvelistV5 (CNA) (GitHub_M) | CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| backstage | backstage | < 1.49.6 | CVEProject cvelistV5 (CNA) |
| backstage | backstage | >= 1.50.0-next.0, < 1.50.5 | CVEProject cvelistV5 (CNA) |
| backstage | backstage | >= 1.51.0-next.0, < 1.54.6 | CVEProject cvelistV5 (CNA) |
| backstage | plugin-scaffolder-backend | < 3.3.1 | CVEProject cvelistV5 (CNA) |
| backstage | plugin-scaffolder-backend | >= 3.4.0, < 3.4.1 | CVEProject cvelistV5 (CNA) |
| backstage | plugin-scaffolder-backend | >= 4.0.0, < 4.0.3 | CVEProject cvelistV5 (CNA) |
| backstage | plugin-scaffolder-backend | >= 4.0.4, < 4.1.0 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۷- https://github.com/backstage/backstage/security/advisories/GHSA-g2v8-7jhw-pp8p x_refsource_CONFIRM
- https://github.com/backstage/backstage/commit/66d2219edf0abe33ab7d0c1ced5d069d1e065be5 x_refsource_MISC
- https://github.com/backstage/backstage/commit/c19838870476a8e29144c84b1a5ac0654ec20fb5 x_refsource_MISC
- https://github.com/backstage/backstage/commit/e262d649981ff99bb01ca7077807ae3e25e85560 x_refsource_MISC
- https://github.com/backstage/backstage/releases/tag/v1.49.6 x_refsource_MISC
- https://github.com/backstage/backstage/releases/tag/v1.50.5 x_refsource_MISC
- https://github.com/backstage/backstage/releases/tag/v1.54.6 x_refsource_MISC
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۷/۱۵
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۷/۱۵
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- GitHub_M
پیش‌بینی بهره‌برداری (EPSS)
۰٫۴۸٪
احتمال بهره‌برداری در ۳۰ روز
۴۱٫۸٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- خیر
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-200Exposure of Sensitive Information to an Unauthorized Actor
- CWE-201Insertion of Sensitive Information Into Sent Data