Backstage plugin-scaffolder-backend: Unzureichende Validierung des Task-Zustands

Zusammenfassung

Das Scaffolder-Backend-Plugin des Frameworks Backstage für Developer-Portale enthält eine unzureichende Validierung des Task-Zustands mit einer Race Condition (CWE-362) und Link Following (CWE-59). Ein authentifizierter Benutzer, der Scaffolder-Tasks erstellen und lesen darf, kann unter bestimmten Timing- und Deployment-Bedingungen Dateien beeinflussen, auf die das Backstage-Backend zugreifen kann. Sind die Anwendungsdateien des Backends schreibbar, können Vertraulichkeit, Integrität und Verfügbarkeit des Backends beeinträchtigt werden. Der CVSS-3.1-Basiswert beträgt 8.5 (hoch), mit hoher Angriffskomplexität und niedrigen erforderlichen Privilegien.

Betroffen

• @backstage/plugin-scaffolder-backend: < 3.3.1; >= 3.4.0 und < 3.4.1; >= 4.0.0 und < 4.0.3; >= 4.0.4 und < 4.1.0
• Backstage Core (backstage/backstage): < 1.49.6; >= 1.50.0-next.0 und < 1.50.5; >= 1.51.0-next.0 und < 1.54.6

Behoben in

• @backstage/plugin-scaffolder-backend: 3.3.1, 3.4.1, 4.0.3, 4.1.0
• Backstage Core: 1.49.6, 1.50.5, 1.54.6
• Hinweis: Das GHSA-Advisory nennt nur 4.1.0 als gepatchte Version. Vor dem Patchen die Release Notes prüfen.

Umgehung

• Scaffolder-Task-Erstellung und Task-Lesezugriff über die Permission Policy auf vertrauenswürdige Benutzer beschränken.
• Einschränken, wer Templates registrieren oder ändern kann und welche Scaffolder-Actions ausgeführt werden dürfen.
• Anwendungsdateien des Backends schreibgeschützt betreiben, ausserhalb eines dedizierten Arbeitsverzeichnisses für Scaffolder mit minimalen Rechten.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• In den geprüften Quellen sind keine Hinweise auf eine bekannte Ausnutzung enthalten. Der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.

Unsere Empfehlung

• @backstage/plugin-scaffolder-backend im nächsten Wartungsfenster auf 4.1.0 oder auf das Backstage-Core-Release mit dem Fix aktualisieren.
• Bis zum Patch Scaffolder-Task-Rechte auf vertrauenswürdige Benutzer beschränken und Template- und Action-Berechtigungen prüfen.
• Prüfen, ob Backstage-Instanzen aus dem Internet erreichbar sind und ob Anwendungsdateien des Backends schreibbar sind; wo möglich schreibgeschützt betreiben.
• Zusammen mit diesem Update die im selben Zeitraum veröffentlichten Scaffolder-Advisories prüfen, zum Beispiel CVE-2026-106501 und CVE-2026-106506.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-xvgh-hmx8-9xxf github.com
• Backstage release v1.49.6 github.com
• Backstage release v1.50.5 github.com
• Backstage release v1.54.6 github.com
• Fix commit 0d24f1b8 (Backstage) github.com
• OSV entry GHSA-xvgh-hmx8-9xxf osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:16.