Backstage has iImproper filesystem validation in Bitbucket pull-request scaffolder actions
Impact
An authenticated user who can execute an eligible template and influence an allowed Bitbucket repository could affect filesystem paths outside the expected working area. Depending on the backend deployment, this could compromise backend confidentiality, integrity, or availability.
Patches
@backstage/plugin-scaffolder-backend-module-bitbucket-cloudversion0.3.10@backstage/plugin-scaffolder-backend-module-bitbucket-serverversion0.2.25
Workarounds
- Restrict execution of affected Scaffolder templates to trusted users.
- Avoid templates that accept user-controlled target repositories for these actions.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @backstage/plugin-scaffolder-backend-module-bitbucket-cloud | < 0.3.10 | 0.3.10 |
| Paquete de npm | @backstage/plugin-scaffolder-backend-module-bitbucket-server | < 0.2.25 | 0.2.25 |
Referencias
- https://github.com/backstage/backstage/security/advisories/GHSA-g8rx-f7m5-7794
- https://nvd.nist.gov/vuln/detail/CVE-2026-106486
- https://github.com/backstage/backstage/commit/818528e112c36167d76187e9e63fb518399c4dd2
- https://github.com/backstage/backstage
- https://github.com/backstage/backstage/releases/tag/v1.54.6
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H- Debilidad (CWE)
CWE-22, CWE-59- Plataforma
- npm
- Paquete
@backstage/plugin-scaffolder-backend-module-bitbucket-cloud, @backstage/plugin-scaffolder-backend-module-bitbucket-server- Publicada
- 07.10.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-g8rx-f7m5-7794 - CC BY 4.0
Historial de vulnerabilidades: @backstage/plugin-scaffolder-backend-module-bitbucket-cloud
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 2
- Primera → última
- 10.2026 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 1
- Media 1
Divulgaciones por año
- 2026: 2
-
Backstage has iImproper filesystem validation in Bitbucket pull-request scaffolder actions esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.