CVE-2024-53983丨Backstage Scaffolder 插件中的服务器端请求伪造

Backstage Scaffolder插件包含构建脚手架相关模块的类型和实用程序。在Backstage Scaffolder模板功能中发现了一个漏洞，攻击者可利用服务器端模板注入（SSTI）进行Git配置注入。该漏洞允许攻击者捕获Backstage Scaffolder插件使用的特权git令牌。使用这些令牌，可以实现未经授权的访问git中的敏感资源。由于Backstage威胁模型建议限制对Backstage目录插件中添加和编辑模板的访问权限，因此该漏洞的影响被认为是中等严重性。在@backstage/plugin-scaffolder-node包的v0.4.12、v0.5.1和v0.6.1版本中已解决此问题。建议用户升级到该版本以缓解漏洞风险。建议用户进行升级。无法升级的用户应确保模板不会更改git配置。