JVNDB-2026-038505

Linux Foundationのbackstage/plugin-auth-backendにおけるオープンリダイレクトの脆弱性

Backstageは開発者ポータルを構築するためのオープンフレームワークです。バージョン0.29.2以前では、@backstage/plugin-auth-backendの実験的な動的クライアント登録機能およびクライアントIDメタデータドキュメント機能において、auth.experimentalDynamicClientRegistration.allowedRedirectUriPatternsおよびauth.experimentalClientIdMetadataDocumentsのallowedClientIdPatternsとallowedRedirectUriPatternsオプションで、full-string matcher.isMatchのグロブマッチングが使われていました。ホスト名のワイルドカードはURLコンポーネントの境界を超えてマッチできるため、攻撃者が制御するリダイレクトURIが信頼されたホスト名のサフィックスをパスに含む場合、ホワイトリストを通過し、被害者がフローを完了するとOAuth認可コードを受け取ることが可能です。プロトコルが明示されていないパターンは意図しないプロトコルとマッチする可能性があり、埋め込み認証情報を含むリダイレクトURIは、ユーザー情報がマッチングのために削除された後に許容されます。これらの機能は実験的でデフォルトでは無効化されており、有効にしてカスタムのワイルドカードホスト名やプロトコル無しパターンを設定したデプロイだけが影響を受けます。この問題はプリリリース版0.29.2で初めて修正されました。

Linux Foundation

• backstage/plugin-auth-backend 0.29.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Unauthenticated OAuth account takeover via `redirect_uri` allowlist bypass in `@backstage/plugin-auth-backend`  Advisory  backstage/backstage  GitHub

1. オープンリダイレクト(CWE-601) [その他]

1. CVE-2026-73563

1. National Vulnerability Database (NVD) : CVE-2026-73563

• [2026年10月16日]
    掲載