CVE-2026-29186
Publiée le 2026-03-07 · Dernière modification le 2026-07-15
Les portails développeurs Backstage utilisant des versions antérieures à la 1.14.3 sont susceptibles de permettre l'exécution de code arbitraire lors du processus de génération de la documentation. Un attaquant disposant d'un accès authentifié de bas niveau peut télécharger un fichier `mkdocs.yml` spécialement conçu pour exécuter du code Python malveillant sur le serveur. Bien que cela nécessite un accès réseau et un compte, l'attaque est complexe à exécuter et dépend du système traitant la configuration malveillante.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Backstage is an open framework for building developer portals. Prior to version 1.14.3, this is a configuration bypass vulnerability that enables arbitrary code execution. The @backstage/plugin-techdocs-node package uses an allowlist to filter dangerous MkDocs configuration keys during the documentation build process. A gap in this allowlist allows attackers to craft an mkdocs.yml that causes arbitrary Python code execution, completely bypassing TechDocs' security controls. This issue has been patched in version 1.14.3.