PT-2021-19840 · Unknown · @Backstage/Techdocs-Common

Rugvip · Publicado 2021-06-03 · Atualizado 2021-06-21 · CVE-2021-32662

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do @backstage/techdocs-common anteriores à 0.6.3

Descrição

Um agente mal-intencionado poderia ler arquivos confidenciais do ambiente onde a documentação do TechDocs é criada e publicada, definindo um caminho específico para docs dir no mkdocs.yml. Esses arquivos ficariam então disponíveis por meio da API de backend do TechDocs. Esse problema é mitigado pelo fato de que um invasor precisaria de acesso para modificar o mkdocs.yml no código-fonte da documentação e também precisaria de acesso à API de backend do TechDocs.

Recomendações

Para versões anteriores à 0.6.3, atualize para a versão 0.6.3 do @backstage/techdocs-common para corrigir a vulnerabilidade. Como solução alternativa temporária, considere restringir o acesso à API de backend do TechDocs e limitar a capacidade de modificar o arquivo mkdocs.yml no código-fonte da documentação.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2021-32662

GHSA-PGF8-28GG-VPR6

Produtos afetados

@Backstage/Techdocs-Common

Referências · 7

• https://github.com/backstage/backstage/commit/8cefadca04cbf01d0394b0cb1983247e5f1d6208 · Correção
• https://github.com/backstage/backstage/security/advisories/GHSA-pgf8-28gg-vpr6 · Nota
• https://github.com/backstage/backstage/releases/tag/release-2021-05-27 · Nota
• https://t.me/cvenotify/15534 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-32662 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-pgf8-28gg-vpr6 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32662 · Aviso do Fabricante