`@backstage/backend-common` vulnerable to path traversal through symlinks

高 7.5CVE-2024-26150 · GHSA-2fc9-xpp8-2g9h · 23/02/2024 公開 · 17/06/2026 更新

要点

CVE-2024-26150 は backstage backend-common (linuxfoundation), @backstage/backend-common に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.80%（全脆弱性の 56.7% より高い）。
対処：0.20.2, 0.19.10, 0.21.1 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
backstage backend-common linuxfoundation	`= 0.21.0≥ 0.20.0, < 0.20.2< 0.19.10`	`0.20.20.19.10`
@backstage/backend-common npm	`≥ 0.20.0, < 0.20.2≥ 0.21.0, < 0.21.1< 0.19.10`	`0.20.20.21.10.19.10`

概要

Impact

Paths checks with the resolveSafeChildPath utility were not exhaustive enough, leading to risk of path traversal vulnerabilities if symlinks can be injected by attackers.

Patches

Patched in @backstage/backend-common version 0.21.1. Patched in @backstage/backend-common version 0.20.2. Patched in @backstage/backend-common version 0.19.10.

For more information

If you have any questions or comments about this advisory:

Open an issue in the Backstage repository
Visit our Discord, linked to in Backstage README

NVD の説明

`@backstage/backend-common` is a common functionality library for backends for Backstage, an open platform for building developer portals. In `@backstage/backend-common` prior to versions 0.21.1, 0.20.2, and 0.19.10, paths checks with the `resolveSafeChildPath` utility were not exhaustive enough, leading to risk of path traversal vulnerabilities if symlinks can be injected by attackers. This issue is patched in `@backstage/backend-common` versions 0.21.1, 0.20.2, and 0.19.10.

参考情報

backstage/backstage security advisory · WEB
nvd.nist.gov/vuln/detail/CVE-2024-26150 · ADVISORY
backstage/backstage commit 1ad2b1b · WEB
backstage/backstage commit 78f892b · WEB
backstage/backstage commit edf65d7 · WEB
backstage/backstage · PACKAGE

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2024-26150 は backstage backend-common (linuxfoundation), @backstage/backend-common に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。

今後30日間に悪用される確率（EPSS）：0.80%（全脆弱性の 56.7% より高い）。

対処：0.20.2, 0.19.10, 0.21.1 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

backstage backend-common

linuxfoundation

= 0.21.0≥ 0.20.0, < 0.20.2< 0.19.10

0.20.20.19.10

@backstage/backend-common

npm

≥ 0.20.0, < 0.20.2≥ 0.21.0, < 0.21.1< 0.19.10

0.20.20.21.10.19.10

概要