JVNDB-2026-017942

Linux Foundationのbackstage/plugin-catalog-backend-module-unprocessed等の複数製品における不正な認証に関する脆弱性

Backstageは開発者ポータルを構築するためのオープンフレームワークです。0.6.11より前のバージョンでは、@backstage/plugin-catalog-backend-module-unprocessed内の未処理エンティティ読み取りエンドポイントが権限認可チェックを強制していませんでした。認証された任意のユーザーが所有権に関係なく未処理エンティティのレコードにアクセスできます。これは、このモジュールを使用するBackstageインストールに影響を与える情報漏洩の脆弱性です。この問題は@backstage/plugin-catalog-backend-module-unprocessedバージョン0.6.11、@backstage/plugin-catalog-unprocessed-entities-commonバージョン0.0.15、および@backstage/plugin-catalog-unprocessed-entitiesバージョン0.2.30で修正されています。

Linux Foundation

• backstage/plugin-catalog-backend-module-unprocessed 0.6.11 未満
• backstage/plugin-catalog-unprocessed-entities 0.2.30 未満
• backstage/plugin-catalog-unprocessed-entities-common 0.0.15 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Catalog unprocessed read endpoints allow authenticated cross-owner data access without permission checks  Advisory  backstage/backstage  GitHub

1. 不正な認証(CWE-863) [その他]

1. CVE-2026-44374

1. National Vulnerability Database (NVD) : CVE-2026-44374

• [2026年06月04日]
    掲載