Backstage: Inconsistent enforcement of allowed location types during catalog processing
Impact
Under certain configurations, the catalog backend could process location types that were not intended to be allowed, potentially leading to unintended file access on the backend host.
Patches
Patched in @backstage/plugin-catalog-backend version 3.9.1
Workarounds
No practical workarounds are available. Upgrade to the patched version.
Software afectado
Haz clic en una tecnología para ver todas sus vulnerabilidades.
| Plataforma | Paquete | Versiones vulnerables | Corregida en |
|---|---|---|---|
| Paquete de npm | @backstage/plugin-catalog-backend | < 3.9.1 | 3.9.1 |
Referencias
- https://github.com/backstage/backstage/security/advisories/GHSA-pcmq-25r3-5w9v
- https://nvd.nist.gov/vuln/detail/CVE-2026-106496
- https://github.com/backstage/backstage/commit/23774b61560d851bc69cd6a77d12561b24d11afd
- https://github.com/backstage/backstage
- https://github.com/backstage/backstage/releases/tag/v1.54.6
- Vector CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N- Debilidad (CWE)
CWE-22, CWE-863- Plataforma
- npm
- Paquete
@backstage/plugin-catalog-backend- Publicada
- 07.10.2026
- Actualizado
- 11.10.2026 10:22
Fuentes y licencias
OSV / GitHub Advisory Database - GHSA-pcmq-25r3-5w9v - CC BY 4.0
Historial de vulnerabilidades: @backstage/plugin-catalog-backend
Todas las vulnerabilidades publicadas de este paquete (Paquete de npm), de la más reciente a la más antigua. Muestra si es un fallo aislado o un paquete que hay que vigilar.
- Entradas en total
- 4
- Primera → última
- 02.2023 10.2026
- Sin corrección
- 0
- Explotada en ataques
- 0
Distribución por gravedad
- Alta 2
- Media 1
- Baja 1
Divulgaciones por año
- 2023: 1
- 2024: 1
- 2025: 0
- 2026: 2
-
Backstage: Inconsistent enforcement of allowed location types during catalog processing esta entrada
Identifica las vulnerabilidades de tu aplicación
Con la integración de DockRay y el inventario de software activado, DockRay compara las versiones notificadas de los componentes con las vulnerabilidades conocidas y avisa de las coincidencias confirmadas. La cobertura depende de la tecnología compatible y de los avisos disponibles.