جزئیات آسیب‌پذیری

CVE-2026-73666

openchoreo backstage-plugins

OpenChoreo: Unauthenticated Backstage developer-portal API exposes OpenChoreo catalog data, scaffolder logs, and allows unauthenticated catalog write/delete

CVSS 3.1

8.2بالا

شرح رسمی (انگلیسی)

OpenChoreo is a developer platform for Kubernetes. Prior to 1.0.4, 1.1.4, and 1.2.1, the OpenChoreo Backstage backend hardcoded backend.auth.dangerouslyDisableDefaultAuthPolicy and auth.providers.guest.dangerouslyAllowOutsideDevelopment to true, exposing /api/* without authentication and allowing unauthenticated catalog reads, scaffolder log reads, and catalog location creation or deletion. This issue is fixed in versions 1.0.4, 1.1.4, and 1.2.1.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
8.2بالا	3.1	CVEProject cvelistV5 (CNA) (GitHub_M)	`CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
openchoreo	backstage-plugins	< 1.0.4	CVEProject cvelistV5 (CNA)
openchoreo	backstage-plugins	>= 1.1.0, < 1.1.4	CVEProject cvelistV5 (CNA)
openchoreo	backstage-plugins	>= 1.2.0-rc.1, < 1.2.1	CVEProject cvelistV5 (CNA)

منابع و راهنماها

۱۲

https://github.com/openchoreo/openchoreo/security/advisories/GHSA-v7qx-mqhq-grvh x_refsource_CONFIRM
https://github.com/openchoreo/backstage-plugins/pull/709 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/pull/712 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/pull/713 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/pull/716 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/commit/114a215689924b917da5fd28c56e679aaccaef07 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/commit/dfa3fc8bd1ffef1346442c891e3e3dd54bc26501 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/commit/f6df89c15834506902b2f706a9e8fbe1f6ef1474 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/commit/fdaceeb737938e830c48a150d5bec24f5f487e52 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/releases/tag/v1.0.4 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/releases/tag/v1.1.4 x_refsource_MISC
https://github.com/openchoreo/backstage-plugins/releases/tag/v1.2.1 x_refsource_MISC

هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.

اطلاعات

تاریخ انتشار: ۱۴۰۵/۰۵/۲۳
آخرین به‌روزرسانی: ۱۴۰۵/۰۵/۲۳
وضعیت: منتشرشده
صادرکننده (CNA): GitHub_M

پیش‌بینی بهره‌برداری (EPSS)

۰٫۶۷٪

احتمال بهره‌برداری در ۳۰ روز

۵۲٫۳٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

قابل خودکارسازی: بله
وضعیت بهره‌برداری: ندارد
اثر فنی: جزئی

ضعف‌ها (CWE)

CWE-306
Missing Authentication for Critical Function