Backstage: Nieprawidłowa kontrola dostępu przy wywoływaniu akcji backendu
Wpływ
Uwierzytelniony użytkownik mógł wywoływać akcje, które operator wykluczył za pośrednictwem konfiguracji akcji. Istniejące uprawnienia do akcji oraz dalsza autoryzacja pozostają wymuszone.
Poprawki
Problem usunięto w @backstage/backend-defaults w wersji 0.17.8.
Obejścia
Do czasu wdrożenia aktualizacji należy ograniczyć dostęp do punktów końcowych wywoływania akcji wyłącznie do zaufanych podmiotów wywołujących usługi.
Co trzeba zrobić
Zaktualizuj @backstage/backend-defaults do wersji 0.17.8 lub nowszej. Jeśli natychmiastowa aktualizacja nie jest możliwa, ogranicz dostęp do punktów końcowych wywoływania akcji do zaufanych usług.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @backstage/backend-defaults | < 0.17.8 | 0.17.8 |
Odnośniki
- https://github.com/backstage/backstage/security/advisories/GHSA-3xr5-8w6c-p5gw
- https://nvd.nist.gov/vuln/detail/CVE-2026-106495
- https://github.com/backstage/backstage/commit/a8fb34a990a69bcb745e85a3213cf9e5ba2d31a3
- https://github.com/backstage/backstage
- https://github.com/backstage/backstage/releases/tag/v1.54.6
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N- Słabość (CWE)
CWE-284- Platforma
- npm
- Paczka
@backstage/backend-defaults- Ujawniono
- 15.10.2026
- Aktualizacja
- 19.10.2026 08:00
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-3xr5-8w6c-p5gw - CC BY 4.0
Historia podatności: @backstage/backend-defaults
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 6
- Pierwsza → ostatnia
- 01.2026 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 2
- Średnia 2
- Niska 2
Ujawnienia w latach
- 2026: 6
-
Backstage: Nieprawidłowa kontrola dostępu przy wywoływaniu akcji backendu ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.