प्लेटफ़ॉर्म
nodejs
घटक
@backstage/integration
में ठीक किया गया
1.20.2
1.20.1
बैकस्टेज एक ओपन-सोर्स डेवपोर्ट है। CVE-2026-29185 @backstage/integration में एक पाथ ट्रैवर्सल भेद्यता है, जो एन्कोडेड पाथ ट्रैवर्सल अनुक्रमों को फ़ाइल पथों में शामिल करने की अनुमति देता है। यह भेद्यता तब उत्पन्न होती है जब एकीकरण फ़ंक्शन अनधिकृत SCM प्रदाता API एंडपॉइंट्स पर अनुरोधों को रीडायरेक्ट करने के लिए कॉन्फ़िगर किए गए सर्वर-साइड एकीकरण क्रेडेंशियल्स का उपयोग करते हैं। यह भेद्यता बैकस्टेज के 1.20.0 से पहले के संस्करणों को प्रभावित करती है और इसे 1.20.1 में ठीक किया गया है।
यह भेद्यता हमलावरों को बैकस्टेज एकीकरण के माध्यम से SCM प्रदाता API एंडपॉइंट्स पर अनधिकृत अनुरोध भेजने की अनुमति दे सकती है। हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं, जैसे कि कोड रिपॉजिटरी, उपयोगकर्ता जानकारी, या अन्य गोपनीय जानकारी। इसके अतिरिक्त, हमलावर बैकस्टेज सिस्टम पर आगे बढ़ने के लिए इस भेद्यता का उपयोग कर सकते हैं, जिससे संभावित रूप से अधिक गंभीर क्षति हो सकती है। यह भेद्यता विशेष रूप से उन संगठनों के लिए चिंताजनक है जो बैकस्टेज का उपयोग अपने सॉफ्टवेयर विकास वर्कफ़्लो को प्रबंधित करने के लिए करते हैं, क्योंकि यह उनके कोड और डेटा की सुरक्षा को खतरे में डाल सकता है।
यह भेद्यता अभी तक KEV में सूचीबद्ध नहीं है, और इसका EPSS स्कोर कम है, जो कम संभावना का संकेत देता है। सार्वजनिक रूप से उपलब्ध PoC (प्रूफ-ऑफ-कॉन्सेप्ट) अभी तक नहीं मिले हैं, लेकिन भेद्यता की प्रकृति के कारण सक्रिय शोषण की संभावना से इनकार नहीं किया जा सकता है। यह भेद्यता 2026-03-05 को प्रकाशित हुई थी।
Organizations using Backstage with SCM integrations, particularly those relying on user-provided SCM URLs for features like the scaffolder, are at risk. Shared hosting environments where multiple Backstage instances share credentials are also particularly vulnerable, as a compromise in one instance could potentially impact others.
• nodejs / server:
npm list @backstage/integration• nodejs / server:
grep -r 'scaffolder' ./src/• generic web:
Inspect Backstage integration configuration files for any unusual URL patterns or overly permissive settings.
• generic web:
Review access logs for requests containing encoded path traversal sequences (e.g., ..%2f).
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.01% (2% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2026-29185 को कम करने के लिए, बैकस्टेज को तुरंत 1.20.1 या बाद के संस्करण में अपडेट करें। यदि तत्काल अपग्रेड संभव नहीं है, तो SCM URL को मान्य करने और सैनिटाइज करने के लिए सर्वर-साइड एकीकरण फ़ंक्शन में अतिरिक्त सुरक्षा जांच लागू करें। WAF (वेब एप्लिकेशन फ़ायरवॉल) नियमों को कॉन्फ़िगर करें जो असामान्य URL पैटर्न या एन्कोडिंग को ब्लॉक करते हैं जो पाथ ट्रैवर्सल हमलों का संकेत दे सकते हैं। बैकस्टेज एकीकरण के लिए उपयोगकर्ता इनपुट को सीमित करें और केवल आवश्यक URL घटकों की अनुमति दें।
पैकेज `@backstage/integration` को संस्करण 1.20.1 या उच्चतर में अपडेट करें। यह SCM URLs के पार्सिंग में पथ ट्रैवर्सल भेद्यता को ठीक कर देगा। सही किए गए संस्करण में अपडेट करने के लिए `npm update @backstage/integration` कमांड चलाएँ।
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-29185 @backstage/integration में एक भेद्यता है जो हमलावरों को अनधिकृत SCM API अनुरोधों को रूट करने की अनुमति देती है।
यदि आप बैकस्टेज के 1.20.0 से पहले के संस्करण का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
बैकस्टेज को 1.20.1 या बाद के संस्करण में अपडेट करें।
अभी तक सक्रिय शोषण की कोई पुष्टि नहीं हुई है, लेकिन संभावना से इनकार नहीं किया जा सकता है।
बैकस्टेज सुरक्षा सलाहकार के लिए बैकस्टेज की वेबसाइट पर जाएं।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।