@backstage/plugin-techdocs-node: Codeausführung über Markdown-Erweiterungen

Zusammenfassung

Die TechDocs-Bibliothek von Backstage validiert die mappingbasierte Konfiguration von markdown_extensions in der MkDocs-Konfiguration nicht korrekt. Ein authentifizierter Benutzer, der eine SCM-basierte Dokumentationsquelle registrieren oder beeinflussen kann, kann die Bereinigung umgehen und dadurch bewirken, dass Python-Objekte während der Dokumentationserstellung importiert und instanziiert werden, was zu beliebiger Codeausführung führen kann. Die Auswirkungen sind am grössten, wenn die Erstellung mit Backend-Zugangsdaten, Dateisystemzugriff oder Zugriff auf das interne Netzwerk erfolgt.

Betroffen

• @backstage/plugin-techdocs-node unter 1.14.8
• @backstage/plugin-techdocs-node 1.15.0 bis unter 1.15.6
• @backstage/plugin-techdocs-node 2.0.0 bis unter 2.0.1
• Backstage-Repository unter 1.50.7, 1.51.0-next.0 bis unter 1.54.9 sowie 1.55.0-next.0 bis unter 1.55.2

Behoben in

• @backstage/plugin-techdocs-node 1.14.8, 1.15.6 oder 2.0.1 (Backstage v1.50.7, v1.54.9 oder v1.55.2)
• Die frühere Korrektur in 1.15.4 ist unvollständig und nicht ausreichend.

Umgehung

• Verwenden Sie die externe TechDocs-Erstellung in einer isolierten Umgebung ohne sensitive Zugangsdaten oder Host-Zugriff.
• Beschränken und prüfen Sie Änderungen an der Dokumentationskonfiguration vor der Erstellung.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde kein öffentlicher Exploit und keine bekannte aktive Ausnutzung gefunden.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.

Unsere Empfehlung

• Aktualisieren Sie @backstage/plugin-techdocs-node auf eine Version der verwendeten Paketlinie mit Korrektur. Stoppen Sie nicht bei 1.15.4.
• Prüfen Sie, ob die TechDocs-Erstellung lokal auf dem Backend läuft (runIn: local), da dies die exponierteste Konfiguration ist.
• Beschränken Sie, wer Dokumentationsquellen hinzufügen oder ändern kann, und prüfen Sie Änderungen an der mkdocs-Konfiguration.
• Nach dem Upgrade ist mit Konfigurationsproblemen zu rechnen, da die Tag-Allowlist einige mkdocs-material-Setups betreffen kann.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-qmw3-745m-w99g github.com
• Fix commit 32723a0 (normalize TechDocs Markdown extension configuration) github.com
• Backstage release v1.50.7 github.com
• Backstage release v1.54.9 github.com
• Backstage release v1.55.2 github.com
• OSV entry CVE-2026-106558 osv.dev
• HOL Guard CVE-2026-106558 hol.org
• VulDB CVE-2026-106558 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:22.