CVE-2026-106563

Nome do Software Vulnerável e Versões Afetadas @backstage/plugin-kubernetes-backend versões anteriores a 0.21.8

Descrição A validação inadequada de entidades em um endpoint de serviços Kubernetes descontinuado permite que um usuário autenticado com permissões de leitura do Kubernetes acesse dados de carga de trabalho além do escopo pretendido. Ao fornecer dados de entidade manipulados para o endpoint, um invasor pode obter acesso somente leitura aos metadados de objetos Kubernetes em clusters configurados. O endpoint afetado é /services/:serviceId.

Recomendações Atualize o @backstage/plugin-kubernetes-backend para a versão 0.21.8. Desative a rota descontinuada /services/:serviceId implantando um roteador Kubernetes personalizado que a omita. Restrinja o acesso à permissão kubernetes.resources.read para limitar o conjunto de usuários que podem alcançar o endpoint.