CVE-2026-106460
Backstage: Explicit negative email verification can be ignored during shared OAuth profile normalization
CVSS 3.1Medium
6.8/ 10.0
Опубликовано
Обновлено
В атаках
Не зафиксировано
Публичный PoC
Отсутствует
Анализ подготовлен:CVE Futuretools Threat Intelligence
Верификация: MITRE CVE List · CISA KEV · NIST NVD
ПАТЧ ДОСТУПЕН: ВЕРСИЯ 1.49.7, 1.54.7, 0.6.15, 0.7.5
Обновить пакет `@backstage/plugin-auth-node` до версий 0.6.15 или 0.7.5.
01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ
Игнорирование статуса неподтвержденной почты при OAuth-нормализации в Backstage позволяет провести обход аутентификации.
02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ
Пакет `@backstage/plugin-auth-node` игнорирует явные отрицательные флаги верификации адреса электронной почты (`verified: false` или `email_verified: false`) при нормализации профиля OAuth. Дефект проявляется, если система сопоставляет каталожные сущности по выбранному email-адресу пользователя.
03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ
Атакующий с доступом к внешнему Identity Provider может указать неподтвержденный email жертвы и получить доступ к чужому каталожному профилю и правам внутри Backstage.
04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ
backstagebackstage
>= 1.18.0➔Fix: 1.49.7
backstagebackstage
>= 1.50.0-next.0➔Fix: 1.54.7
@backstageplugin-auth-node
>= 0.3.0➔Fix: 0.6.15
@backstageplugin-auth-node
>= 0.7.0➔Fix: 0.7.5
——
>= 0.3.0➔Fix: 0.6.15
——
>= 0.7.0➔Fix: 0.7.5
05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (6)
- github.comhttps://github.com/backstage/backstage/security/advisories/GHSA-xm5q-p7w3-x6cp
- github.comhttps://github.com/backstage/backstage/commit/507e65ab9160aae6b602513dbfaebdd6be0ca8bb
- github.comhttps://github.com/backstage/backstage/commit/f0a43dacd1b501064da042b43eab9c1e06371d38
- github.comhttps://github.com/backstage/backstage/commit/fc5e30aba8ea7282ed3658c3b985cec71051cf9d
- github.comhttps://github.com/backstage/backstage/releases/tag/v1.49.7
- github.comhttps://github.com/backstage/backstage/releases/tag/v1.54.7
06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК
Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:
Библиографическая ссылка (Plain text)
CVE Futuretools (2026). Анализ уязвимости CVE-2026-106460: Backstage: Explicit negative email verification can be ignored during shared OAuth profile normalization. URL: https://cve.futuretools.ru/cve/CVE-2026-106460
BibTeX формат (LaTeX)
@misc{cve_futuretools_cve_2026_106460,
title = {{CVE-2026-106460: Backstage: Explicit negative email verification can be ignored during shared OAuth profile normalization}},
author = {{CVE Futuretools}},
year = {2026},
howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-106460}},
note = {Оперативный инженерный анализ киберугроз}
}