Backstage 存在使用内置令牌可能读取 SCM URL 的潜在漏洞

该漏洞的关键在于 SCM URL 解析过程中的安全漏洞。攻击者可以精心构造包含编码路径遍历序列的 URL，例如 ..%2f..%2f，当 Backstage 集成功能处理这些 URL 时，这些遍历序列会被解析并用于构建 API URL。如果集成功能没有对 URL 进行充分的验证和清理，攻击者就可以利用这些序列将请求重定向到 SCM 提供商的 API 端点，例如 GitHub 或 Bitbucket Server，并使用配置的服务器端集成凭据进行访问。这可能导致攻击者访问未经授权的代码仓库、拉取敏感数据，甚至执行恶意操作。该漏洞的潜在影响包括代码泄露、凭据泄露以及对 SCM 系统的潜在破坏。

Organizations using Backstage with SCM integrations, particularly those relying on user-provided SCM URLs for features like the scaffolder, are at risk. Shared hosting environments where multiple Backstage instances share credentials are also particularly vulnerable, as a compromise in one instance could potentially impact others.

• nodejs / server:

  npm list @backstage/integration

• nodejs / server:

  grep -r 'scaffolder' ./src/

• generic web: Inspect Backstage integration configuration files for any unusual URL patterns or overly permissive settings. • generic web: Review access logs for requests containing encoded path traversal sequences (e.g., ..%2f).

1. 2026-03-05Disclosure

   disclosure

1. 已保留2026-03-04
2. 发布日期2026-03-05
3. 修改日期2026-03-09
4. EPSS 更新日期2026-03-23

最直接的缓解措施是立即升级到 @backstage/integration 的 1.20.1 版本或更高版本，该版本修复了该漏洞。如果由于兼容性问题无法立即升级，可以考虑以下临时缓解措施：首先，严格审查所有用户提供的 SCM URL，并实施输入验证和清理机制，以防止路径遍历序列的注入。其次，限制服务器端集成凭据的权限，只授予必要的访问权限。第三，监控 SCM 提供商的 API 日志，以检测任何异常活动或未经授权的访问尝试。最后，考虑使用 Web 应用防火墙 (WAF) 或代理服务器来过滤恶意请求，并阻止包含路径遍历序列的 URL。