Backstage: Improper input validation in TechDocs static content requests
Impact
When using the Azure Blob Storage provider, an authenticated Backstage user may be able to read restricted TechDocs content when entity-level permissions are enabled. Deployments that intentionally disable the default backend authentication policy may have broader exposure.
Patches
Patched in @backstage/plugin-techdocs-backend version 2.2.4
Workarounds
- Restrict access to the TechDocs backend to users who are permitted to view all stored documentation until an upgrade can be applied.
- Keep the default backend authentication policy enabled.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @backstage/plugin-techdocs-backend | < 2.2.4 | 2.2.4 |
Odnośniki
- https://github.com/backstage/backstage/security/advisories/GHSA-7mfx-xg57-53c9
- https://nvd.nist.gov/vuln/detail/CVE-2026-106490
- https://github.com/backstage/backstage/commit/40ecc4c2e88b0218125b0a3405d1f6315b321974
- https://github.com/backstage/backstage
- https://github.com/backstage/backstage/releases/tag/v1.54.6
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-22, CWE-23- Platforma
- npm
- Paczka
@backstage/plugin-techdocs-backend- Ujawniono
- 07.10.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-7mfx-xg57-53c9 - CC BY 4.0
Historia podatności: @backstage/plugin-techdocs-backend
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 4
- Pierwsza → ostatnia
- 09.2024 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 1
- Średnia 3
Ujawnienia w latach
- 2024: 2
- 2025: 0
- 2026: 2
-
Backstage: Improper input validation in TechDocs static content requests ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.