Backstage Sentry-Scaffolder-Modul: Unzureichende Eingabevalidierung ermöglicht SSRF und Offenlegung von Zugangsdaten
Zusammenfassung
Die Sentry-Scaffolder-Aktionen im Paket @backstage/plugin-scaffolder-backend-module-sentry validieren Eingaben ungenügend. Ein authentifizierter interner Benutzer, der diese Aktionen ausführen kann, kann bewirken, dass das Backend unbeabsichtigte Ziele kontaktiert und die konfigurierten Sentry-Zugangsdaten offengelegt werden. Die Auswirkungen über die Offenlegung der Zugangsdaten hinaus hängen von der Netzwerkerreichbarkeit und den Berechtigungen des konfigurierten Tokens ab.
Betroffen
- @backstage/plugin-scaffolder-backend-module-sentry, Versionen >= 0.3.0 und < 0.3.8
Behoben in
- @backstage/plugin-scaffolder-backend-module-sentry 0.3.8 oder neuer
- Backstage v1.54.8 und v1.55.0 enthalten das korrigierte Paket
Umgehung
- Die betroffenen Sentry-Scaffolder-Aktionen deaktivieren, bis das korrigierte Paket eingesetzt ist.
- Die Berechtigung scaffolder.action.execute für die betroffenen Sentry-Aktionen auf vertrauenswürdige Benutzer und Templates beschränken.
- Benutzerdefinierte apiBaseUrl-Werte auf Aktionsebene vor dem Upgrade nach scaffolder.sentry.apiBaseUrl verschieben, da der Fix diese Werte entfernt.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird.
- Die CISA-SSVC-Daten führen die Ausnutzung als none und die Automatisierbarkeit als no auf.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Das Sentry-Scaffolder-Modul auf Version 0.3.8 oder neuer aktualisieren oder auf Backstage v1.54.8 bzw. v1.55.0 upgraden.
- Vor dem Upgrade benutzerdefinierte apiBaseUrl-Werte nach scaffolder.sentry.apiBaseUrl verschieben.
- Prüfen, ob das Modul installiert ist und wer die Sentry-Scaffolder-Aktionen ausführen kann.
- Falls unvertrauenswürdige Benutzer diese Aktionen ausgeführt haben könnten, das Sentry-Token erneuern.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-g734-fhp4-7mfp github.com
- Fix commit b0170fad github.com
- Backstage release v1.54.8 github.com
- Backstage release v1.55.0 github.com
- OSV GHSA-g734-fhp4-7mfp osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:18.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.