Backstage is an open framework for building developer portals. Prior to 4.1.0, the @backstage/plugin-scaffolder-backend package could expose sensitive information in Scaffolder task failure events. Under specific template and failure conditions, an authenticated user may retrieve backend-managed credentials used during task execution from affected task events.
This issue is fixed in version 4.1.0.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Высокая
Сложно эксплуатировать
Нужны права
Низкие
Нужны базовые права
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Высокое
Полная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 2
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Linuxfoundation Backstage\/Plugin-Scaffolder-Backend
cpe:2.3:a:linuxfoundation:backstage\/plugin-scaffolder-backend:*:*:*:*:*:*:*:*
|
— |
4.1.0
|
|
Linuxfoundation Backstage
cpe:2.3:a:linuxfoundation:backstage:*:*:*:*:*:*:*:*
|
— |
1.54.6
|
Ссылки 3
https://github.com/backstage/backstage/security/advisories/GHSA-95p4-vv4g-jxxm
https://github.com/backstage/backstage/security/advisories/GHSA-95p4-vv4g-jxxm
https://github.com/backstage/backstage/commit/3f1e869708f002fb9838624b7379deb25…
https://github.com/backstage/backstage/commit/3f1e869708f002fb9838624b7379deb251691b47
https://github.com/backstage/backstage/releases/tag/v1.54.6
https://github.com/backstage/backstage/releases/tag/v1.54.6