Backstage has iImproper filesystem validation in Bitbucket pull-request scaffolder actions
Impact
An authenticated user who can execute an eligible template and influence an allowed Bitbucket repository could affect filesystem paths outside the expected working area. Depending on the backend deployment, this could compromise backend confidentiality, integrity, or availability.
Patches
@backstage/plugin-scaffolder-backend-module-bitbucket-cloudversion0.3.10@backstage/plugin-scaffolder-backend-module-bitbucket-serverversion0.2.25
Workarounds
- Restrict execution of affected Scaffolder templates to trusted users.
- Avoid templates that accept user-controlled target repositories for these actions.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @backstage/plugin-scaffolder-backend-module-bitbucket-cloud | < 0.3.10 | 0.3.10 |
| Paczka npm | @backstage/plugin-scaffolder-backend-module-bitbucket-server | < 0.2.25 | 0.2.25 |
Odnośniki
- https://github.com/backstage/backstage/security/advisories/GHSA-g8rx-f7m5-7794
- https://nvd.nist.gov/vuln/detail/CVE-2026-106486
- https://github.com/backstage/backstage/commit/818528e112c36167d76187e9e63fb518399c4dd2
- https://github.com/backstage/backstage
- https://github.com/backstage/backstage/releases/tag/v1.54.6
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:H/A:H- Słabość (CWE)
CWE-22, CWE-59- Platforma
- npm
- Paczka
@backstage/plugin-scaffolder-backend-module-bitbucket-cloud, @backstage/plugin-scaffolder-backend-module-bitbucket-server- Ujawniono
- 07.10.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-g8rx-f7m5-7794 - CC BY 4.0
Historia podatności: @backstage/plugin-scaffolder-backend-module-bitbucket-cloud
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 2
- Pierwsza → ostatnia
- 10.2026 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 1
Ujawnienia w latach
- 2026: 2
-
Backstage has iImproper filesystem validation in Bitbucket pull-request scaffolder actions ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.