@backstage/plugin-techdocs-node vulnerable to ejecución de código arbitrario a través de ganchos de MkDocs

Esta vulnerabilidad permite a un atacante con acceso de escritura a un repositorio que utiliza el plugin TechDocs ejecutar código Python arbitrario en el servidor de compilación. Esto podría resultar en la ejecución de comandos maliciosos, el robo de información confidencial, la modificación de archivos del sistema o incluso el control total del servidor. El impacto es particularmente grave si el servidor de compilación tiene acceso a otros sistemas o datos sensibles. La capacidad de ejecutar código arbitrario abre la puerta a una amplia gama de ataques, incluyendo la exfiltración de credenciales, la instalación de malware y la interrupción del servicio.

Organizations using @backstage/plugin-techdocs-node with the runIn: local configuration are at significant risk. This includes teams that rely on automated documentation generation pipelines and allow external contributors to modify repository content. Shared hosting environments where multiple users have access to repository configurations are also particularly vulnerable.

• nodejs / server:

  find /path/to/techdocs/ -name 'mkdocs.yml' -print0 | xargs -0 grep -i 'hooks:'

• nodejs / server:

npm list @backstage/plugin-techdocs-node

• generic web: Inspect mkdocs.yml files in repositories managed by TechDocs for the presence of the hooks configuration key.

1. 2026-02-02Disclosure

   disclosure

1. Reservado2026-01-29
2. Publicada2026-02-02
3. Modificada2026-02-03
4. EPSS actualizado2026-03-23

La solución principal es actualizar el plugin @backstage/plugin-techdocs-node a la versión 1.14.1 o posterior. Esta versión introduce una lista blanca de claves de configuración de MkDocs, eliminando las claves no admitidas (incluyendo hooks) del archivo mkdocs.yml antes de ejecutar el generador. Como medida temporal, si la actualización no es posible de inmediato, se puede considerar restringir el acceso de escritura al repositorio o implementar controles de seguridad adicionales en el servidor de compilación para mitigar el riesgo de ejecución de código malicioso. Después de la actualización, verifique que el archivo mkdocs.yml se procese correctamente y que no se generen errores relacionados con la eliminación de claves de configuración.