PT-2025-16909 · Unknown · Backstage Permission Plugin Backend

Rugvip · Publicado 2025-04-16 · Atualizado 2026-03-12 · CVE-2025-32791

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do backend do plugin de permissão do Backstage anteriores à 0.6.0

Descrição Uma vulnerabilidade no backend do plugin de permissão do Backstage permite que chamadores extraiam algumas informações sobre as decisões condicionais retornadas pela política de permissão instalada no backend de permissão. Se o sistema de permissão não estiver em uso ou se a política de permissão instalada não utilizar decisões condicionais, não haverá impacto.

Recomendações Para versões anteriores à 0.6.0, atualize para a versão 0.6.0 para resolver o problema. Como medida paliativa temporária, os administradores das políticas de permissão devem garantir que elas sejam elaboradas de modo que as decisões condicionais não contenham nenhuma informação sensível.

Exploit

Correção

Enumeração de Fraquezas

CWE-213

Identificadores relacionados

CVE-2025-32791

GHSA-F8J4-P5CR-P777

Produtos afetados

Backstage Permission Plugin Backend

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/32xxx/CVE-2025-32791.json · Exploit
• https://github.com/backstage/backstage · Nota
• https://github.com/backstage/backstage/security/advisories/GHSA-f8j4-p5cr-p777 · Nota
• https://t.me/cvetracker/21813 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-f8j4-p5cr-p777 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-32791 · Nota de Segurança
• https://twitter.com/dailycve/status/2032237826524254212 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1912722263981309972 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2025-32791 · Aviso do Fabricante