IT-Sentinel

« BACK_TO_HOME

PUBLISHED

2026-10-06 21:17

MODIFIED

2026-10-06 21:17

CVSS_SCORE V3

6.4

EPSS (Prob. Exploit)

0.17%

Top 93.9%

DATA SOURCES:

NVD 🔗 2026-10-06 RED HAT 🔗 2026-10-11 FIRST EPSS 🔗 2026-10-19 GITHUB 🔗 2026-10-13 OSV 🔗 2026-10-11

> DESCRIPTION

Backstage is an open framework for building developer portals. Prior to 1.54.6, scaffolder source-control actions may not consistently enforce intended credential boundaries. An authenticated user could cause an affected action to fall back to broader integration credentials and perform operations with more access than intended. This issue is fixed in 1.54.6 when operators also enable scaffolder.requireScmUserCredentials after upgrading.

> AFFECTED_PRODUCTS

ℹ️ Aucun produit affecté n'a encore été publié par NVD pour cette CVE.

> CVSS V3 METRICS

CVSS_VECTOR

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

EXPLOITABILITY

3.1

IMPACT

2.7

> MÉTRIQUES CVSS DÉTAILLÉES

                CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
            

Métrique	Valeur	Interprétation
AV (Vecteur d'Attaque) Attack Vector	Network (N)	Exploit possible à distance via réseau (HTTP, API, etc.)
AC (Complexité d'Attaque) Attack Complexity	Low (L)	Peu de conditions requises pour exploiter
PR (Privilèges Requis) Privileges Required	Low (L)	Authentifié avec compte utilisateur basique
UI (Interaction Utilisateur) User Interaction	None (N)	Aucune interaction utilisateur nécessaire
S (Périmètre) Scope	Changed (C)	Impact s'étend au-delà du composant compromis
C (Impact Confidentialité) Confidentiality Impact	Low (L)	Divulgation limitée d'informations
I (Impact Intégrité) Integrity Impact	Low (L)	Modification limitée des données possible
A (Impact Disponibilité) Availability Impact	None (N)	Aucune interruption de service

> RÉSUMÉ DES IMPACTS

Confidentialité

Low

Divulgation limitée d'informations

Intégrité

Low

Modification limitée des données possible

Disponibilité

None

Aucune interruption de service

> WEAKNESSES

CWE-441 CWE-863

> RED HAT SEVERITY ASSESSMENT

THREAT SEVERITY

Moderate

> GITHUB SECURITY ADVISORY

GHSA-29gx-h2m3-xw44 MODERATE

Backstage's scaffolder credential handling may allow unintended GitHub authentication fallback

AFFECTED PACKAGES:

NPM / @backstage/plugin-scaffolder-backend-module-bitbucket-server

< 0.2.25

Fixed in: 0.2.25

NPM / @backstage/plugin-scaffolder-backend-module-bitbucket-cloud

< 0.3.10

Fixed in: 0.3.10

NPM / @backstage/plugin-scaffolder-backend-module-azure

< 0.2.25

Fixed in: 0.2.25

NPM / @backstage/plugin-scaffolder-backend-module-gitlab

< 0.11.10

Fixed in: 0.11.10

NPM / @backstage/plugin-scaffolder-backend-module-github

< 0.9.13

Fixed in: 0.9.13

NPM / @backstage/plugin-scaffolder-backend

< 4.1.0

Fixed in: 4.1.0

> OSV (GOOGLE OPEN SOURCE VULNERABILITIES)

Backstage: Scaffolder credential handling may allow unintended GitHub authentication fallback

AFFECTED PACKAGES:

Unknown / Unknown

533 versions affected

ALIASES:

GHSA-29gx-h2m3-xw44

> HISTORIQUE DES MODIFICATIONS

Première apparition

06/10/2026 21:17

Source: NVD

📊 ENRICHISSEMENT 11/10/2026 05:02

REDHAT

Champ modifié: Sévérité Red Hat

Ancienne valeur:

N/A

Nouvelle valeur:

{ "threat_severity": "Moderate", "severity_scale": null }

📊 ENRICHISSEMENT 11/10/2026 05:02

REDHAT

Champ modifié: Red Hat