🇰🇷 한글 설명
Backstage 2.2.4 미만 버전의 @backstage/plugin-techdocs-backend 패키지에서 입력값 검증 미흡 문제가 발견되었습니다. Azure Blob Storage를 사용하는 경우, 인증된 사용자가 엔티티 수준의 권한 설정이 활성화되어 있더라도 제한된 TechDocs 콘텐츠를 읽을 수 있습니다. 이 문제는 2.2.4 버전에서 수정되었습니다.
💡 쉬운 설명
Backstage라는 개발자 포털 도구에서 권한이 없는 문서까지 몰래 볼 수 있는 보안 허점이 발견되었습니다. 특히 Azure 저장소를 사용하는 환경에서 인증된 사용자라면 다른 사람의 문서를 읽을 위험이 있습니다.
🇺🇸 원문 (English)
Backstage is an open framework for building developer portals. Prior to 2.2.4, the @backstage/plugin-techdocs-backend package is affected by improper input validation in techdocs static content requests. When using the Azure Blob Storage provider, an authenticated Backstage user may be able to read restricted TechDocs content when entity-level permissions are enabled. Deployments that intentionally disable the default backend authentication policy may have broader exposure. This issue is fixed in version 2.2.4.
📍 영향받는 시스템
Backstage @backstage/plugin-techdocs-backend (version < 2.2.4)
⚔️ 공격 벡터
인증된 사용자가 조작된 TechDocs 정적 콘텐츠 요청을 통해 권한 밖의 데이터에 접근
🛡️ 대응 방법
Backstage를 최신 버전인 2.2.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 2.2.4 미만인지 확인하십시오.
npm list @backstage/plugin-techdocs-backend