Backstage: Cloud storage catalog locations may cross configured storage boundaries
Impact
Catalog entity providers for Azure Blob Storage and AWS S3 did not sufficiently validate storage object paths, which could allow catalog descriptors to be read from outside the intended storage boundary. Access is limited to locations reachable by the backend's configured credentials.
Patches
@backstage/plugin-catalog-backend-module-azureversion0.3.21@backstage/plugin-catalog-backend-module-awsversion0.4.27@backstage/backend-defaultsversion0.7.18
Workarounds
- Restrict blob and object creation or renaming in configured catalog storage sources to trusted principals.
- Scope Backstage's Azure and AWS reader credentials and network access to the intended storage boundaries.
- Disable an affected catalog provider if those restrictions cannot be enforced.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @backstage/backend-defaults | < 0.17.8 | 0.17.8 |
| Paczka npm | @backstage/plugin-catalog-backend-module-aws | < 0.4.27 | 0.4.27 |
| Paczka npm | @backstage/plugin-catalog-backend-module-azure | < 0.3.21 | 0.3.21 |
Odnośniki
- https://github.com/backstage/backstage/security/advisories/GHSA-xvh9-35w9-42m4
- https://nvd.nist.gov/vuln/detail/CVE-2026-106493
- https://github.com/backstage/backstage/commit/47ddbd8b4a3efd812309f759c38f4877fbd9e5ff
- https://github.com/backstage/backstage
- https://github.com/backstage/backstage/releases/tag/v1.54.6
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:C/C:L/I:N/A:N- Słabość (CWE)
CWE-22- Platforma
- npm
- Paczka
@backstage/backend-defaults, @backstage/plugin-catalog-backend-module-aws, @backstage/plugin-catalog-backend-module-azure- Ujawniono
- 07.10.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-xvh9-35w9-42m4 - CC BY 4.0
Historia podatności: @backstage/backend-defaults
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 6
- Pierwsza → ostatnia
- 01.2026 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 2
- Średnia 2
- Niska 2
Ujawnienia w latach
- 2026: 6
-
Backstage: Cloud storage catalog locations may cross configured storage boundaries ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.