PT-2021-19839 · Unknown · @Backstage/Plugin-Techdocs

Rugvip · Publicado 2021-06-03 · Atualizado 2021-06-21 · CVE-2021-32661

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.3

Alta

Vetor base

AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Versões do @backstage/plugin-techdocs anteriores à 0.9.5

Descrição

Um agente mal-intencionado interno pode potencialmente enviar conteúdo de documentação com scripts maliciosos, incorporando o script dentro de um elemento object. Isso pode dar acesso a dados confidenciais quando outros usuários visitarem essa mesma página de documentação. A capacidade de enviar conteúdo malicioso pode ser limitada por processos internos de revisão de código, a menos que o método de implantação do TechDocs escolhido seja o uso de um armazenamento de objetos e o agente tenha acesso para enviar arquivos diretamente para esse armazenamento.

Recomendações

Para versões anteriores à 0.9.5, atualize para a versão 0.9.5 do @backstage/plugin-techdocs para corrigir a vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso ao upload direto de arquivos para o armazenamento de objetos e implementar processos rigorosos de revisão de código interno para minimizar o risco de exploração.

Correção

Command Injection

Unrestricted File Upload

Enumeração de Fraquezas

CWE-77

CWE-434

Identificadores relacionados

CVE-2021-32661

GHSA-GG96-F8WR-P89F

Produtos afetados

@Backstage/Plugin-Techdocs

Referências · 6

• https://github.com/backstage/backstage/commit/aad98c544e59369901fe9e0a85f6357644dceb5c · Correção
• https://github.com/backstage/backstage/releases/tag/release-2021-06-03 · Nota
• https://github.com/backstage/backstage/security/advisories/GHSA-gg96-f8wr-p89f · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-32661 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-32661 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-gg96-f8wr-p89f · Aviso do Fabricante