@backstage/plugin-auth-backend: SSRF in experimentele CIMD metadata fetch

Een succesvolle exploitatie van deze SSRF-kwetsbaarheid kan een aanvaller in staat stellen om interne services en bronnen te bereiken die anders niet toegankelijk zouden zijn. Dit kan leiden tot data-exfiltratie, configuratie-wijzigingen of zelfs het compromitteren van andere systemen binnen het netwerk. De kwetsbaarheid ontstaat doordat de initiële client_id hostname wel wordt gevalideerd tegen private IP-bereiken, maar deze validatie niet wordt toegepast na HTTP redirects. Dit maakt het mogelijk voor een aanvaller om een redirect te gebruiken om een verzoek naar een interne bron te sturen, ongeacht de oorspronkelijke hostname. De impact is afhankelijk van de interne bronnen die toegankelijk zijn via de SSRF.

Organizations utilizing @backstage/plugin-auth-backend with the auth.experimentalClientIdMetadataDocuments.enabled feature enabled are at risk. This includes teams leveraging Backstage for developer portal management and those relying on the plugin for client identity metadata. Shared hosting environments where the plugin is deployed alongside other applications should also be considered, as a compromised application could potentially exploit this vulnerability.

• nodejs / server:

  # Check for vulnerable versions of @backstage/plugin-auth-backend
  npm list @backstage/plugin-auth-backend

• generic web:

  # Inspect plugin configuration for auth.experimentalClientIdMetadataDocuments.enabled
  grep -r 'auth.experimentalClientIdMetadataDocuments.enabled' backstage.config.js

1. 2026-03-12Disclosure

   disclosure

1. Gereserveerd2026-03-11
2. Gepubliceerd2026-03-12
3. Gewijzigd2026-04-15
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie voor deze kwetsbaarheid is het upgraden naar versie 0.27.1 van @backstage/plugin-auth-backend. Indien een upgrade direct niet mogelijk is, overweeg dan het uitschakelen van auth.experimentalClientIdMetadataDocuments.enabled om de functionaliteit die de kwetsbaarheid introduceert te deactiveren. Als dit niet wenselijk is, implementeer dan een Web Application Firewall (WAF) of proxy om uitgaande verzoeken te filteren en te blokkeren naar onverwachte of potentieel gevaarlijke bestemmingen. Controleer de configuratie van de plugin en zorg ervoor dat er geen onnodige interne services worden blootgesteld.