@backstage/plugin-techdocs-node vulnerable to possible Path Traversal in TechDocs Local Generator
Impact
A path traversal vulnerability in the TechDocs local generator allows attackers to read arbitrary files from the host filesystem when Backstage is configured with techdocs.generator.runIn: local.
When processing documentation from untrusted sources, symlinks within the docs directory are followed by MkDocs during the build process. File contents are embedded into generated HTML and exposed to users who can view the documentation.
Patches
This vulnerability is fixed in @backstage/plugin-techdocs-node version X.X.X. Users should upgrade to this version or later.
Workarounds
- Switch to
runIn: dockerin yourapp-config.yaml:
techdocs:
generator:
runIn: docker- Restrict write access to TechDocs source repositories to trusted users only
References
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | @backstage/plugin-techdocs-node | >= 1.14.0, < 1.14.1, < 1.13.11 | 1.14.1, 1.13.11 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-22- Platforma
- npm
- Paczka
@backstage/plugin-techdocs-node- Ujawniono
- 02.02.2026
- Aktualizacja
- 11.10.2026 10:22
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-w669-jj7h-88m9 - CC BY 4.0
Historia podatności: @backstage/plugin-techdocs-node
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 11
- Pierwsza → ostatnia
- 06.2022 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 8
- Średnia 3
Ujawnienia w latach
- 2022: 1
- 2023: 0
- 2024: 0
- 2025: 0
- 2026: 10
-
@backstage/plugin-techdocs-node vulnerable to possible Path Traversal in TechDocs Local Generator ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.