CVE-2026-106501
Backstage: exposição de informações sensíveis no Scaffolder
Traduzido automaticamente do inglês.
Um usuário autenticado do Backstage que pode ler a tarefa Scaffolder de outro usuário pode receber dados de execução internos. Em implantações onde esses dados contêm credenciais para um serviço externo, isso pode permitir a divulgação e alterações não autorizadas nesse serviço externo.
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.6 (v3.1)
- EPSS
- 0,48% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
- Pacotes afetados
- @backstage/plugin-scaffolder-backend (npm) < 3.3.1, corrigido em 3.3.1 · GHSA-g2v8-7jhw-pp8p
- @backstage/plugin-scaffolder-backend (npm) >= 3.4.0, < 3.4.1, corrigido em 3.4.1 · GHSA-g2v8-7jhw-pp8p
- @backstage/plugin-scaffolder-backend (npm) >= 4.0.0, < 4.0.3, corrigido em 4.0.3 · GHSA-g2v8-7jhw-pp8p
- @backstage/plugin-scaffolder-backend (npm) >= 4.0.4, < 4.1.0, corrigido em 4.1.0 · GHSA-g2v8-7jhw-pp8p