CVE-2026-115923

Nome do Software Vulnerável e Versões Afetadas Backstage versões anteriores a 3.9.2 Backstage versões 4.0.0 até 4.0.1

Descrição No componente @backstage/plugin-catalog-backend, o DefaultCatalogRulesEnforcer compara a URL bruta location.target com as catalog.rules, enquanto os leitores de URL canonicalizam a mesma URL antes de buscá-la. Um usuário autenticado com a permissão catalog.location.create pode usar segmentos de caminho codificados em percentual para fazer com que uma URL não confiável corresponda a um padrão de local confiável, mesmo que a URL canônica seja resolvida fora desse escopo. Isso permite que o conteúdo de entidade de uma fonte não confiável seja aceito como confiável.

Recomendações Atualize para a versão 3.9.2 ou posterior. Atualize para a versão 4.0.2 ou posterior.