CVE-2026-106462 medium CVSS 6.4

Vulnérabilité dans @backstage/plugin-scaffolder-backend (CVE-2026-106462)

Résumé

Vulnérabilité dans @backstage/plugin-scaffolder-backend (CVE-2026-106462). Risque d'opérations non autorisées ou de divulgation. Atténuation : mise à jour vers 4.1.0 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Impact

Scaffolder actions that interact with source control systems may not consistently enforce the intended credential boundaries under certain configurations. An authenticated user could perform operations with broader access than intended.

Patches

@backstage/plugin-scaffolder-backend version 4.1.0
@backstage/plugin-scaffolder-backend-module-azure version 0.2.25
@backstage/plugin-scaffolder-backend-module-bitbucket-cloud version 0.3.10
@backstage/plugin-scaffolder-backend-module-bitbucket-server version 0.2.25
@backstage/plugin-scaffolder-backend-module-github version 0.9.13
@backstage/plugin-scaffolder-backend-module-gitlab version 0.11.10

The fix introduces a new configuration option that enforces user-provided credentials for supported SCM actions. The new behavior is opt-in for compatibility. After upgrading, set:

scaffolder:
  requireScmUserCredentials: true

Before enabling this setting, review and update your templates as described in the software templates documentation referred to below.

Workarounds

If you cannot upgrade and enable the setting immediately:

Restrict who can create Scaffolder tasks and which templates they can execute.
Limit SCM integration credentials to the minimum repository read and mutation permissions required.
Remove integration credentials for SCM hosts where all required operations can use explicitly supplied user tokens.

Source: NIST National Vulnerability Database NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-106462 a été découverte dans @backstage/plugin-scaffolder-backend.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 6.4/10.
Action : mettez à jour @backstage/plugin-scaffolder-backend vers 4.1.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « @backstage/plugin-scaffolder-backend CVE-2026-106462 » sur le site de l'éditeur.

CVE-2026-106462 (@backstage/plugin-scaffolder-backend) — CWE-441 / CVSS v3 6.4
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Correctif : 4.1.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-441) affecte @backstage/plugin-scaffolder-backend.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de @backstage/plugin-scaffolder-backend.

🔥 Gravité

Gravité : Moyenne (CVSS 6.4/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 4.1.0.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
grep -r '@backstage/plugin-scaffolder-backend' . | grep -v node_modules
```
リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で @backstage/plugin-scaffolder-backend を grep し、稼働しているサービス・バージョンを把握する。
2
Apply patch patch
```
Upgrade @backstage/plugin-scaffolder-backend to 4.1.0
```
ステージング環境で 4.1.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
3
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

npm @backstage/plugin-scaffolder-backend

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"4.1.0"}]}]

npm @backstage/plugin-scaffolder-backend-module-github

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"0.9.13"}]}]

npm @backstage/plugin-scaffolder-backend-module-gitlab

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"0.11.10"}]}]

npm @backstage/plugin-scaffolder-backend-module-azure

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"0.2.25"}]}]

npm @backstage/plugin-scaffolder-backend-module-bitbucket-cloud

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"0.3.10"}]}]

npm @backstage/plugin-scaffolder-backend-module-bitbucket-server

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"0.2.25"}]}]

Références

Métadonnées

CVE: CVE-2026-106462
GHSA: GHSA-29gx-h2m3-xw44
Publication: 2026-10-07
Première détection SecPulse: il y a 1 semaine
Source initiale: NIST National Vulnerability Database

Étiquettes (cliquez pour l'explication)

CWE

Cwe 441 Cwe 863

CWE

CWE-441 CWE-863

Sources de détection

NIST National Vulnerability Database il y a 1 semaine
GitHub Security Advisories (Global) il y a 1 semaine