CVE-2026-29186

概要

Backstage（Spotify / CNCF）の TechDocs プラグイン に おいて、MkDocs の 設定 ファイル を 経由 して 任意 の Python コード を 実行 できる 脆弱性 が 存在 します。CWE-74（インジェクション）および CWE-434（危険なファイルの無制限アップロード）に 分類 されます。

この 脆弱性 に より、TechDocs の コンテンツ を 作成 できる ユーザー が、悪意 の ある MkDocs 設定 を 含む ドキュメント を 公開 する こと で、TechDocs ビルド 環境 上 で 任意 の Python コード を 実行 する こと が 可能 です。

Backstage で TechDocs を 有効 に して いる 環境 で は、速やか に 修正版 へ の アップデート を 推奨 します。

CVSSベクトル

影響を受けるソフトウェア

修正バージョンと回避策

• 修正バージョン: Backstage の 最新バージョン へ の アップデート
• 暫定回避策: TechDocs ビルド を サンドボックス 環境 で 実行、MkDocs 設定 ファイル の ホワイトリスト 検証

関連リンク

• NVD

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。