Backstage plugin-scaffolder-backend: Offenlegung sensibler Informationen im Scaffolder

Zusammenfassung

Das Scaffolder-Plugin des Backstage-Frameworks für Entwicklerportale gibt interne Ausführungsdaten von Tasks an Benutzer zurück, die Tasks anderer Benutzer lesen können. Ein authentifizierter Benutzer mit einem Backstage-Konto kann dies ohne Mitwirkung eines Benutzers ausnutzen. Enthalten die offengelegten Daten Zugangsdaten für einen externen Dienst, kann ein Angreifer auf diesen Dienst zugreifen und ihn verändern.

Betroffen

• @backstage/plugin-scaffolder-backend vor 3.3.1
• @backstage/plugin-scaffolder-backend 3.4.0 bis vor 3.4.1
• @backstage/plugin-scaffolder-backend 4.0.0 bis vor 4.0.3
• @backstage/plugin-scaffolder-backend 4.0.4 bis vor 4.1.0
• Core-Backstage-Bereiche gemäss CVE-Eintrag: vor 1.49.6; 1.50.0-next.0 bis vor 1.50.5; 1.51.0-next.0 bis vor 1.54.6 (nicht gegen die Herstellerseite verifiziert)

Behoben in

• @backstage/plugin-scaffolder-backend 3.3.1
• @backstage/plugin-scaffolder-backend 3.4.1
• @backstage/plugin-scaffolder-backend 4.0.3
• @backstage/plugin-scaffolder-backend 4.1.0

Umgehung

• Scaffolder.task.read mit der Bedingung isTaskOwner konfigurieren, sodass Benutzer nur eigene Tasks lesen können.
• Betroffene Integrationen und Workflows bis zur Verfügbarkeit eines Updates auf vertrauenswürdige Operatoren beschränken.
• Sensible Werte aus scaffolder.defaultEnvironment.secrets entfernen, bis ein gepatchte Version installiert ist, falls diese Einschränkung nicht sichergestellt werden kann (basierend auf einer verwandten Drittanbieter-Warnung, vom Hersteller nicht verifiziert).

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Keine bekannte Ausnutzung und kein öffentlicher Proof of Concept in der begrenzten Recherche gefunden.
• Von einem Aggregator gemeldeter EPSS-Wert: 0.00473.

Unsere Empfehlung

• @backstage/plugin-scaffolder-backend auf 4.1.0 oder die gepatchte Version Ihrer Release-Linie aktualisieren.
• Prüfen, ob Scaffolder-Tasks Zugangsdaten für Drittdienste speichern, und exponierte Zugangsdaten rotieren.
• Bei fehlender Update-Möglichkeit die Bedingung isTaskOwner als Übergangsmassnahme anwenden.
• Zugriff auf Backstage prüfen und die Sichtbarkeit von Scaffolder-Tasks auf vertrauenswürdige Benutzer beschränken.
• Externe Dienste auf unerwartete Änderungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-g2v8-7jhw-pp8p github.com
• Fix commit 66d2219 (serialize task responses explicitly) github.com
• Backstage release v1.54.6 github.com
• OSV record CVE-2026-106501 osv.dev
• GitLab Advisory Database CVE-2026-106501 advisories.gitlab.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:06.