Backstage: Improper input validation in Confluence to Markdown scaffolder module
Impact
Insufficient input validation in the Confluence to Markdown scaffolder module could allow an attacker to influence file write operations during template execution. Exploitation requires a Backstage user to run a template that processes attacker-influenced Confluence content.
Patches
Patched in @backstage/plugin-scaffolder-backend-module-confluence-to-markdown version 0.3.25
Workarounds
If unable to update immediately:
- Restrict Confluence edit access to trusted users.
- Review Confluence page content before running scaffolder templates against untrusted pages.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @backstage/plugin-scaffolder-backend-module-confluence-to-markdown | < 0.3.25 | 0.3.25 |
Odnośniki
- https://github.com/backstage/backstage/security/advisories/GHSA-75qf-886x-5xf2
- https://nvd.nist.gov/vuln/detail/CVE-2026-106559
- https://github.com/backstage/backstage/commit/506c2c11bce3ed9d1f8f50de5d6474b16e43a65e
- https://github.com/backstage/backstage
- https://github.com/backstage/backstage/releases/tag/v1.54.6
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:L- Słabość (CWE)
CWE-22, CWE-73- Platforma
- npm
- Paczka
@backstage/plugin-scaffolder-backend-module-confluence-to-markdown- Ujawniono
- 07.10.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-75qf-886x-5xf2 - CC BY 4.0
Historia podatności: @backstage/plugin-scaffolder-backend-module-confluence-to-markdown
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 10.2026 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 1
Ujawnienia w latach
- 2026: 2
-
Backstage: Improper input validation in Confluence to Markdown scaffolder module ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.