PT-2026-5463 · Techdocs+3 · Techdocs+3

Highbenjdlambert

·

Publicado

2026-01-30

·

Atualizado

2026-02-02

·

CVE-2026-25153

CVSS v3.1

8.8

Alta

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Nome do Software Vulnerável e Versões Afetadas Versões do Backstage anteriores a 1.13.11 e versões anteriores a 1.14.1
Descrição O componente @backstage/plugin-techdocs-node do Backstage, utilizado para TechDocs, é suscetível à execução remota de código. Quando o TechDocs está configurado para ser executado localmente (runIn: local), um agente malicioso que possa modificar o arquivo mkdocs.yml de um repositório pode executar código Python arbitrário no servidor de build do TechDocs por meio da configuração de hooks do MkDocs. O problema decorre da ausência de restrições nas chaves de configuração permitidas no arquivo mkdocs.yml. A correção introduz uma lista de permissões de chaves de configuração do MkDocs suportadas, removendo chaves não suportadas, incluindo hooks, antes de executar o gerador. Como alternativa, configurar o TechDocs para ser executado em um contêiner Docker (runIn: docker) oferece isolamento por contêiner, embora não mitigue totalmente o risco. Limitar o acesso para modificar arquivos mkdocs.yml e implementar requisitos de revisão de PR (pull request) para alterações nesses arquivos também pode ajudar a detectar configurações maliciosas. Usar versões do MkDocs anteriores a 1.4.0, como a 1.3.1, também pode mitigar o problema, embora possa limitar o acesso a recursos mais recentes do MkDocs.
Recomendações Atualize o @backstage/plugin-techdocs-node para a versão 1.13.11 ou 1.14.1. Configure o TechDocs com runIn: docker em vez de runIn: local. Restrinja o acesso para modificar arquivos mkdocs.yml apenas a colaboradores confiáveis. Implemente requisitos de revisão de PR (pull request) para alterações nos arquivos mkdocs.yml. Use a versão 1.3.1 ou anterior do MkDocs.

Exploit

Correção

RCE

Code Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-25153
GHSA-6JR7-99PF-8VGF

Produtos afetados

@Backstage/Plugin-Techdocs-Node
Backstage
Mkdocs
Techdocs