CVE-2026-106510

Nome do Software Vulnerável e Versões Afetadas Backstage versões anteriores a 1.14.6 Backstage versões anteriores a 1.15.4

Description O pacote @backstage/plugin-techdocs-node permite a execução remota de código por meio de markdown extensions manipulados dentro do arquivo mkdocs.yml. Um usuário autenticado com permissões para registrar entidades de catálogo pode fornecer um arquivo mkdocs.yml malicioso, resultando na execução de comandos arbitrários do sistema operacional no host de compilação do TechDocs durante o processo de geração da documentação.

Recommendations Atualize para a versão 1.14.6. Atualize para a versão 1.15.4. Altere para techdocs.builder: external para isolar as compilações do TechDocs em um container. Restrinja as permissões de usuários que podem registrar entidades de catálogo com anotações do TechDocs. Audite as entidades de catálogo existentes em busca de valores suspeitos de markdown extensions em seus arquivos mkdocs.yml.