PT-2026-107270 · Backstage · Backstage

CVE-2026-106489

·

Publicado

2026-10-06

·

Atualizado

2026-10-06

CVSS v3.1

6.5

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas Backstage versões anteriores a 2.2.4
Descrição O pacote @backstage/plugin-techdocs-backend apresenta falha na aplicação de autorização para conteúdo estático do TechDocs. Um usuário autenticado com acesso a um site de documentação TechDocs pode criar uma URL capaz de ler a documentação pertencente a outra entidade. Este problema afeta especificamente implantações que utilizam o construtor externo do TechDocs com um provedor de armazenamento externo (como S3 ou GCS) e que possuem a estrutura de permissões ativada.
Recomendações Atualizar para a versão 2.2.4.

Exploit

Correção

Path traversal

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-22CWE-862

Identificadores relacionados

CVE-2026-106489
GHSA-RG9R-HR7G-5GC2

Produtos afetados

Backstage