| Gói / sản phẩm | Phiên bản bị ảnh hưởng | Phiên bản đã vá |
|---|---|---|
| backstage/plugin-scaffolder-backend | ≥ 3.1.0, < 3.1.5 | 3.1.5 |
| @backstage/plugin-scaffolder-backend | ≥ 3.1.0, < 3.1.5 | 3.1.5 |
Authenticated users with permission to execute scaffolder dry-runs can gain access to server-configured environment secrets through the dry-run API response. Secrets are properly redacted in log output but not in all parts of the response payload.
Deployments that have configured scaffolder.defaultEnvironment.secrets are affected.
This is patched in @backstage/plugin-scaffolder-backend version 3.1.5
Remove or empty the scaffolder.defaultEnvironment.secrets configuration from app-config.yaml. Alternatively, restrict access to the scaffolder dry-run functionality via the
permissions framework.
Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.
Quét site miễn phí