🇰🇷 한글 설명
Backstage의 @backstage/plugin-scaffolder-backend 패키지에서 Scaffolder 액션 입력에 대한 권한 우회 취약점이 발견되었습니다. 인증된 사용자가 설정된 액션 제한을 우회하여 통합된 자격 증명을 통해 저장소 및 소스 제어 리소스에 무단으로 접근할 수 있습니다.
💡 쉬운 설명
개발자 포털인 Backstage를 사용하는 사용자가 원래는 접근할 수 없는 코드 저장소에 몰래 들어갈 수 있는 보안 구멍이 발견되었습니다. 권한이 제한된 사용자라도 특정 설정을 우회하여 중요한 소스 코드를 볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Backstage is an open framework for building developer portals. Prior to 3.3.1, 3.4.1, 4.0.3 and 4.1.0, the @backstage/plugin-scaffolder-backend package is affected by scaffolder action input authorization bypass. An authenticated user with access to affected Scaffolder templates could bypass configured action restrictions. Depending on integration credentials, this could grant unauthorized access to repositories and related source-control resources. This issue is fixed in versions 3.3.1, 3.4.1, 4.0.3 and 4.1.0.
📍 영향받는 시스템
@backstage/plugin-scaffolder-backend (3.3.1, 3.4.1, 4.0.3, 4.1.0 미만 버전)
⚔️ 공격 벡터
인증된 사용자가 Scaffolder 템플릿의 액션 입력을 조작하여 설정된 권한 제한을 우회함
🛡️ 대응 방법
@backstage/plugin-scaffolder-backend 패키지를 3.3.1, 3.4.1, 4.0.3 또는 4.1.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 버전(3.3.1, 3.4.1, 4.0.3, 4.1.0 이상)인지 확인하십시오.
npm list @backstage/plugin-scaffolder-backend