Высокий

Опубликована

CVE-2026-29186

@backstage/plugin-techdocs-node: TechDocs Mkdocs Configuration Key Enables Arbitrary Code Execution

Публикация: 07.03.2026·Обновлена: 15.07.2026, 04:10·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

Backstage is an open framework for building developer portals. Prior to version 1.14.3, this is a configuration bypass vulnerability that enables arbitrary code execution. The @backstage/plugin-techdocs-node package uses an allowlist to filter dangerous MkDocs configuration keys during the documentation build process. A gap in this allowlist allows attackers to craft an mkdocs.yml that causes arbitrary Python code execution, completely bypassing TechDocs' security controls. This issue has been patched in version 1.14.3.

Что это значит

В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Устранить в течение 7 дней

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

RHSA-2026:9742: Red Hat Developer Hub 1.8

CVE Record: redhat-SADP ↗

RHSA-2026:13826: Red Hat Developer Hub 1.9

CVE Record: redhat-SADP ↗

3. Временные меры

To mitigate this issue, enable docker isolation by updating the Backstage configuration to use 'runIn: docker' instead of 'runIn: local', confining the arbitrary Python code execution to a containerized environment. Additionally, limit commit access to repositories tracked by Backstage to trusted contributors only, and enforce mandatory pull request (PR) reviews for any modifications made to the mkdocs.yml file.

CVE Record: redhat-SADP ↗

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

backstage / backstage

{
  "status": "affected",
  "version": "< 1.14.3"
}

Red Hat / Red Hat Developer Hub 1.8

{
  "status": "unaffected",
  "version": "1776784286",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:rhdh:1.8::el9

Red Hat / Red Hat Developer Hub 1.9

{
  "status": "unaffected",
  "version": "1777903262",
  "lessThan": "*",
  "versionType": "rpm"
}

cpe:/a:redhat:rhdh:1.9::el9

Red Hat / Self-service automation portal 2

cpe:/a:redhat:ansible_portal:2

@backstage/plugin-techdocs-node npm

{
  "status": "affected",
  "version": "*",
  "versionEndExcluding": "1.14.3"
}

CVSS: оценки и векторы

CVSS 3.1 · cve7.7

CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:L

AV · Вектор атакисеть

AC · Сложность атакивысокая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьнизкое

A · Доступностьнизкое

CVSS 3.1 · cve9.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:L

AV · Вектор атакисеть

AC · Сложность атакинизкая

PR · Привилегиинизкие

UI · Участие пользователяне нужно

S · Область воздействияменяется

C · Конфиденциальностьвысокое

I · Целостностьнизкое

A · Доступностьнизкое

Классы CWE

CWE-434 · Неограниченная загрузка файлов опасного типа CWE-74 · Недостаточная нейтрализация специальных элементов в выходных данных (Injection)CWE-791 · Неполная фильтрация специальных элементов

Источники и ссылки

Материал · github.com · cve Материал · access.redhat.com · cve Материал · bugzilla.redhat.com · cve Материал · security.access.redhat.com · cve Бюллетень вендора · access.redhat.com · cve Бюллетень вендора · access.redhat.com · cve Материал · nvd.nist.gov · osv Материал · backstage.io · osv Материал · github.com · osv Материал · www.mkdocs.org · osv Материал · www.mkdocs.org · osv CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-04T21:16:15.104929+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-10-28T21:53:29.593761+00:00"
  },
  "scores": [
    "cve"
  ],
  "status": {
    "source": "cve",
    "received_at": "2026-10-28T21:53:29.593761+00:00"
  },
  "affected": [
    "cve",
    "osv"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-10-28T21:53:29.593761+00:00"
  },
  "solutions": [
    "cve"
  ],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-04T21:16:15.104929+00:00"
  },
  "references": [
    "cve",
    "osv"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-10-28T21:53:29.593761+00:00"
  },
  "workarounds": [
    "cve"
  ],
  "configurations": []
}

Хронология записи

Данные обновлены05.11.2026, 00:16
Данные обновлены04.11.2026, 00:12
Данные обновлены03.11.2026, 00:12
Данные обновлены02.11.2026, 15:14
Данные обновлены02.11.2026, 00:10
Данные обновлены31.10.2026, 11:57
Данные обновлены29.10.2026, 12:21
Опубликована29.10.2026, 00:53

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	ОПУБЛИКОВАНА
CVE-2026-106558 Backstage: Improper validation of TechDocs MkDocs configuration backstage / backstage · @backstage / plugin-techdocs-node	Высокий	8.8	0,47 %	07.10.2026
CVE-2026-106508 Backstage: Potential file exposure through local TechDocs publisher backstage / backstage · @backstage / plugin-techdocs-node	Средний	5.3	0,39 %	07.10.2026
CVE-2026-106455 Backstage: Improper validation of MkDocs plugin configuration in TechDocs backstage / backstage · @backstage / plugin-techdocs-node	Высокий	7.7	0,42 %	06.10.2026
CVE-2026-106510 Backstage: Remote code execution via crafted markdown_extensions in TechDocs mkdocs.yml backstage / backstage · @backstage / plugin-techdocs-node	Высокий	7.7	0,48 %	07.10.2026
CVE-2026-106509 Backstage: Improper validation of MkDocs theme configuration in TechDocs backstage / backstage · @backstage / plugin-techdocs-node	Высокий	7.7	0,52 %	07.10.2026