Backstage 在 Scaffolder Actions 中存在可能的符号链接路径遍历漏洞

该漏洞允许攻击者通过符号链接绕过安全限制，访问或修改系统中的敏感文件。具体来说，攻击者可以利用 debug:log 操作读取任意文件，例如 /etc/passwd 或配置文件，从而获取敏感信息。此外，攻击者还可以利用 fs:delete 操作删除任意文件，甚至可以利用恶意符号链接将文件写入工作区之外，造成更广泛的损害。攻击者可能利用这些权限来窃取凭据、破坏系统配置或执行其他恶意活动。

Organizations using @backstage/backend-defaults in their development workflows, particularly those with Scaffolder templates that allow user-defined file paths, are at risk. Shared hosting environments where multiple users can create and execute Scaffolder templates are especially vulnerable.

• nodejs / server:

  find /path/to/backstage/node_modules/@backstage/backend-defaults -type f -name '*.js' -exec grep -i 'debug:log' {} \;

• nodejs / supply-chain: Review Scaffolder template files for suspicious symlink usage (e.g., ../, /etc/passwd). • generic web: Inspect access logs for unusual file access patterns, particularly attempts to access files outside the expected workspace.

1. 2026-01-21Disclosure

   disclosure

1. 已保留2026-01-20
2. 发布日期2026-01-21
3. 修改日期2026-02-03
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即升级至 @backstage/backend-defaults 0.12.2 或更高版本。如果升级会破坏现有工作流程，可以考虑临时禁用 Scaffolder 的 debug:log 和 fs:delete 操作，以限制攻击面。此外，应审查所有 Scaffolder 模板，确保它们不包含恶意符号链接。在升级后，请验证系统是否不再受到路径遍历攻击，例如通过检查关键文件的完整性。