« Volver al listado

CVE-2026-106561

Estado: En análisisMedia (5)—

Backstage es un framework abierto para crear portales de desarrolladores. Antes de 0.21.9, el paquete @backstage/plugin-kubernetes-backend se ve afectado por una divulgación de información sensible en las consultas de recursos de kubernetes. Un usuario autenticado con el permiso estándar de lectura de recursos de Kubernetes podría obtener valores sensibles que el plugin de Kubernetes está diseñado para enmascarar, exponiendo potencialmente credenciales y otro material confidencial almacenado en los clústeres conectados.

Leer descripción completaMostrar menos

La exposición se limita a los recursos que la cuenta de servicio de Backstage tiene permiso para leer y que coinciden con el espacio de nombres y el selector de etiquetas de la entidad del catálogo objetivo. Los despliegues cuyas credenciales de clúster no conceden acceso de lectura a estos recursos no están afectados. Este problema está corregido en la versión 0.21.9.

Traducción automática del texto original de NVD (en inglés).

CVSS

Probabilidad de explotación (EPSS)

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

🎯 Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Autenticado en red accede a servicio remoto (Kubernetes backend) para extraer secretos/credenciales enmascaradas (T1552) y datos sensibles de recursos permitidos (T1005). CWE-200 (información sensible) y CWE-863 (autorización débil) lo confirman.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

🛡️ Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementUpdate SoftwareActive Directory ConfigurationVulnerability ScanningUser TrainingThreat Intelligence Program

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Backstage — Plugin Kubernetes BackendAI

CWE

Referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-106561",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-106561",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-07T15:26:59.491887Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security-advisories@github.com",
        "cvssData": {
          "scope": "CHANGED",
          "version": "3.1",
          "baseScore": 5,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 3.1
      }
    ]
  },
  "affected": [
    {
      "source": "security-advisories@github.com",
      "affectedData": [
        {
          "vendor": "backstage",
          "product": "backstage",
          "versions": [
            {
              "status": "affected",
              "version": "< 1.54.2"
            }
          ]
        },
        {
          "vendor": "@backstage",
          "product": "plugin-kubernetes-backend",
          "versions": [
            {
              "status": "affected",
              "version": "< 0.21.9"
            }
          ]
        }
      ]
    }
  ],
  "published": "2026-10-07T15:17:17.490",
  "references": [
    {
      "url": "https://github.com/backstage/backstage/commit/388926ae5734bc20bd6a1520d02896be834f6527",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/backstage/backstage/releases/tag/v1.54.2",
      "source": "security-advisories@github.com"
    },
    {
      "url": "https://github.com/backstage/backstage/security/advisories/GHSA-p795-mqf2-36mf",
      "source": "security-advisories@github.com"
    }
  ],
  "vulnStatus": "Undergoing Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security-advisories@github.com",
      "description": [
        {
          "lang": "en",
          "value": "CWE-200"
        },
        {
          "lang": "en",
          "value": "CWE-863"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Backstage is an open framework for building developer portals. Prior to 0.21.9, the @backstage/plugin-kubernetes-backend package is affected by sensitive information disclosure in kubernetes resource queries. An authenticated user holding the standard Kubernetes resource read permission could retrieve sensitive values that the Kubernetes plugin is designed to mask, potentially exposing credentials and other confidential material held in the connected clusters. Exposure is limited to resources that the Backstage service account is permitted to read and that match the targeted catalog entity's namespace and label selector. Deployments whose cluster credentials do not grant read access to these resources are unaffected. This issue is fixed in version 0.21.9."
    }
  ],
  "lastModified": "2026-10-07T17:16:51.197",
  "sourceIdentifier": "security-advisories@github.com"
}