Backstage plugin-techdocs-node: Sanitizer-Umgehung ermöglicht Codeausführung in TechDocs

Zusammenfassung

Das npm-Paket @backstage/plugin-techdocs-node des Developer-Portal-Frameworks Backstage lässt sich umgehen, sodass der Sanitizer für die MkDocs-Konfigurationsdatei, der zur Behebung von CVE-2026-25153 eingeführt wurde, ausgehebelt wird. Ein Benutzer mit Schreibrechten auf ein Repository, das TechDocs verwendet, kann dadurch während der Dokumentationserstellung beliebigen Code auf dem TechDocs-Backend-Host ausführen. Der Angreifer benötigt nur niedrige Berechtigungen, und das Opfer muss nicht interagieren; der Scope-Wechsel im CVSS-Vektor zeigt, dass die Auswirkungen über die verwundbare Komponente hinausgehen.

Betroffen

• @backstage/plugin-techdocs-node vor 1.14.6
• @backstage/plugin-techdocs-node 1.15.0 bis vor 1.15.4
• Backstage vor 1.50.5
• Backstage 1.51.0-next.0 bis vor 1.54.6

Behoben in

• @backstage/plugin-techdocs-node 1.14.6 und 1.15.4
• Backstage 1.50.5 und 1.54.6
• Der Fix entfernt extra_templates aus der Standard-Allowlist der MkDocs-Schlüssel; die Option kann nur explizit aktiviert werden

Umgehung

• TechDocs mit runIn: docker statt runIn: local konfigurieren; dies bietet Container-Isolation, mindert das Risiko aber nicht vollständig
• Schreibzugriff auf das Repository auf vertrauenswürdige Personen beschränken
• Änderungen an MkDocs-Konfigurationsdateien im Code-Review prüfen

Ausnutzung

• Herstellerbewertung CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung
• Zum Zeitpunkt der Recherche wurden kein öffentlicher Proof-of-Concept und keine Hinweise auf Ausnutzung gefunden

Unsere Empfehlung

• @backstage/plugin-techdocs-node auf 1.14.6 oder 1.15.4 aktualisieren oder Backstage auf 1.50.5 oder 1.54.6 aktualisieren
• Bis zur Behebung Schreibzugriff auf TechDocs-Repositories einschränken und für TechDocs-Builds den Docker-Modus verwenden
• Änderungen an MkDocs-Konfigurationen in Pull Requests prüfen
• Den CVSS-Wert in der NVD überprüfen, da die Quellen vom Wert 8.5 in den CVE-Daten abweichen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-p75x-jh7p-ppcx github.com
• Backstage commit a7d995f (MkDocs configuration handling) github.com
• Backstage commit ef92d3d (fix) github.com
• Backstage release v1.50.5 github.com
• Backstage release v1.54.6 github.com
• OSV CVE-2026-106505 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:17.