CVE-2026-106501: Backstage: exposição de informações sensíveis no Scaffolder

Visão geral

O Backstage é um framework aberto para criar portais para desenvolvedores. Este aviso trata de exposição de informações sensíveis no componente scaffolder, especificamente no pacote @backstage/plugin-scaffolder-backend. Segundo o registro, um usuário autenticado que consegue ler a tarefa do Scaffolder de outro usuário pode receber dados internos de execução.

Impacto

O registro informa que, quando esses dados internos contêm credenciais de um serviço externo, pode haver divulgação e alterações não autorizadas nesse serviço. O CNA classifica a falha como crítica, com pontuação base 9.6 no CVSS, e a fraqueza associada é a CWE-200 (Exposição de Informações Sensíveis).

Produtos e versões afetados

@backstage/plugin-scaffolder-backend: a descrição indica que são afetadas as versões anteriores a 3.3.1, 3.4.1, 4.0.3 e 4.1.0.
Pacotes principais do Backstage nos dados de afetação: anteriores a 1.49.6; de 1.50.0-next.0 até antes de 1.50.5; de 1.51.0-next.0 até antes de 1.54.6.
Intervalos do scaffolder-backend nos dados de afetação: anteriores a 3.3.1; de 3.4.0 até antes de 3.4.1; de 4.0.0 até antes de 4.0.3; de 4.0.4 até antes de 4.1.0.
Versões corrigidas citadas no registro: 3.3.1, 3.4.1, 4.0.3 e 4.1.0 para o plugin, e as tags de release 1.49.6, 1.50.5 e 1.54.6 do Backstage.

Status de exploração

O registro indica que este CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS é 0.00483 (percentil 0.40716, data 2026-10-23), e os campos SSVC indicam exploração como none e automatização como no.

Correção e mitigação

Atualize o backend do scaffolder para a versão corrigida da sua linha: 3.3.1, 3.4.1, 4.0.3 ou 4.1.0.
Para os pacotes principais do Backstage, avance para 1.49.6, 1.50.5 ou 1.54.6 conforme a sua linha de versão.
O aviso do fornecedor GHSA-g2v8-7jhw-pp8p é listado como referência de mitigação; o registro não descreve o conteúdo dele.
Como precaução, considere rotacionar credenciais de serviços externos que possam ter sido armazenadas nos dados de tarefas do Scaffolder, já que o registro afirma que esses dados podem conter tais credenciais.

Orientação de detecção

Revise logs de acesso e registros de auditoria em busca de leituras de tarefas do Scaffolder feitas por usuários que não são donos da tarefa.
Verifique se os dados de execução contêm credenciais de serviços externos e analise a atividade desses serviços em busca de alterações inesperadas.
Monitore consultas incomuns a tarefas no período anterior à aplicação da correção.

Limitações das informações disponíveis

O registro não detalha quais campos exatos são expostos nem a falha precisa de autorização.
Os intervalos afetados do plugin de scaffolder listam de 4.0.4 até antes de 4.1.0 como afetados, o que conflita com 4.0.3 ser a versão corrigida na mesma linha; confirme sua versão exata no aviso do fornecedor.
Os itens com o nome 'Linuxfoundation' repetem os nomes dos produtos Backstage sem explicação no registro.
O registro não inclui informações de ADP da CISA nem o conteúdo dos commits de correção.

Perguntas frequentes

Esta falha do Scaffolder do Backstage está sendo explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, portanto a exploração ativa não está confirmada. Nenhuma exploração confirmada aparece nas fontes consultadas.

Para quais versões devo atualizar?

O registro cita 3.3.1, 3.4.1, 4.0.3 e 4.1.0 para o plugin de scaffolder, e 1.49.6, 1.50.5 e 1.54.6 para as tags de release do Backstage. Confirme sua linha de versão no aviso do fornecedor.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.