Backstage TechDocs: Codeausführung über mkdocs.yml-Konfiguration

Zusammenfassung

Das TechDocs-Plugin von Backstage (@backstage/plugin-techdocs-node) validiert die MkDocs-Theme-Konfiguration nicht ausreichend. Wenn TechDocs die Dokumentation lokal oder in einem Container erstellt, kann ein Benutzer mit Schreibzugriff auf ein in Backstage registriertes Repository Konfigurationswerte in mkdocs.yml einfügen, die während des Dokumentations-Builds beliebigen Code ausführen. Die Ausnutzung setzt ein authentifiziertes Konto mit Schreibzugriff auf das Repository voraus; eine unauthentifizierte Ausnutzung wird nicht beschrieben. Ein erfolgreicher Angriff kann die Build-Umgebung und alles, worauf sie zugreifen kann, etwa CI-Secrets, kompromittieren.

Betroffen

• @backstage/plugin-techdocs-node: vor 1.14.6 sowie 1.15.0 bis vor 1.15.4
• backstage (Kern): vor 1.50.5 sowie 1.51.0-next.0 bis vor 1.54.6

Behoben in

• @backstage/plugin-techdocs-node: 1.14.6 (Linie 1.14), 1.15.4 (Linie 1.15)
• backstage (Kern): 1.50.5 und 1.54.6 (gemäss Release-Tags; genaue Versionen in den Release-Notes prüfen)

Umgehung

• techdocs.generator.runIn auf 'docker' statt 'local' setzen. Dies bietet eine Container-Isolation, mindert das Risiko aber nicht vollständig.
• Schreibzugriff auf in den Backstage-Katalog registrierte Repositories auf vertrauenswürdige Benutzer beschränken.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Zum Zeitpunkt der Erfassung wurden keine bekannte Ausnutzung und kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, ob Backstage mit TechDocs eingesetzt wird, und nach @backstage/plugin-techdocs-node sowie dem Backstage-Kernpaket in Lockfiles und Container-Images suchen.
• Auf die oben genannten korrigierten Versionen aktualisieren und Container-Images neu erstellen.
• Bis zur Korrektur den Schreibzugriff auf Repositories auf vertrauenswürdige Benutzer beschränken und prüfen, welche Secrets Build-Jobs lesen können.
• CISA KEV und das GitHub-Advisory auf Änderungen des Ausnutzungsstatus überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-8w7q-29mw-gf5c github.com
• Fixing commit 02cd7cd github.com
• Fixing commit a900a99 github.com
• Backstage release v1.50.5 github.com
• Backstage release v1.54.6 github.com
• OSV entry CVE-2026-106509 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:34.