Backstage Scaffolder Backend: Autorisierungsumgehung bei Scaffolder-Aktionseingaben

Zusammenfassung

Das Scaffolder-Backend-Plugin von Backstage, einem Framework für Developer-Portale, enthält eine Autorisierungsumgehung bei der Prüfung von Aktionseingabewerten gegen Berechtigungsrichtlinien. Ein authentifizierter Benutzer mit Zugriff auf betroffene Scaffolder-Templates kann konfigurierte Aktionseinschränkungen umgehen. Je nach den für Source-Control-Integrationen hinterlegten Zugangsdaten kann dies unautorisierten Zugriff auf Repositories und verwandte Source-Control-Ressourcen ermöglichen. Der CVE-Eintrag weist einen CVSS-3.1-Basiswert von 8.1 (hoch) aus.

Betroffen

• @backstage/plugin-scaffolder-backend vor 3.3.1
• @backstage/plugin-scaffolder-backend 3.4.0 bis vor 3.4.1
• @backstage/plugin-scaffolder-backend 4.0.0 bis vor 4.1.0 (gemäss CVE-Eintrag inklusive 4.0.4 bis 4.1.0)
• Backstage-Core-Releases vor 1.49.6, 1.50.0-next.0 bis 1.50.5 sowie 1.51.0-next.0 bis 1.54.6

Behoben in

• @backstage/plugin-scaffolder-backend 3.3.1 und 3.4.1 (3.x-Linie)
• @backstage/plugin-scaffolder-backend 4.1.0 (4.x-Linie; das Vendor-Advisory nennt 4.1.0 als gepatchte Version)
• Backstage-Core 1.49.6, 1.50.5 und 1.54.6

Umgehung

• Betroffene Scaffolder-Aktionen auf vertrauenswürdige Benutzer beschränken (Vendor-Advisory).
• Source-Control-Integrationen mit Zugangsdaten mit minimalen Berechtigungen konfigurieren (Vendor-Advisory).

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
• In den geprüften Quellen nicht als aktiv ausgenutzt markiert; der CISA-KEV-Katalog wurde nicht direkt geprüft.
• Im Rahmen der Recherche wurde kein öffentlicher Proof of Concept gefunden. Dies belegt nicht, dass keiner existiert.

Unsere Empfehlung

• @backstage/plugin-scaffolder-backend auf 3.3.1 oder 3.4.1 (3.x) bzw. auf 4.1.0 (4.x) aktualisieren; bei 4.x nicht bei 4.0.3 stehen bleiben.
• Bis zur Aktualisierung einschränken, wer betroffene Scaffolder-Templates ausführen kann.
• Die vom Scaffolder-Backend verwendeten Tokens für GitHub, GitLab oder andere SCM-Integrationen prüfen und auf minimale Berechtigungen reduzieren.
• Audit-Logs und Template-Ausführungen auf unerwartete Aktionen an Repositories prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GHSA-hmp2-4m7g-22cv (GitHub Security Advisory) github.com
• OSV record GHSA-hmp2-4m7g-22cv osv.dev
• Fix commit 11c1384 (input handling) github.com
• Fix commit a91ed72 github.com
• Fix commit e307e4f github.com
• Backstage release v1.49.6 github.com
• Backstage release v1.50.5 github.com
• Backstage release v1.54.6 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:38.