CVE-2026-106486 [高] Backstageにおいて、Bitbucketのプルリクエスト作成機能に、不適切なファイルシステム検証が存在する。

Backstageにおいて、Bitbucketプルリクエストの作成機能に関連するアクションに、不適切なファイルシステム検証が存在します。

### 影響

認証されたユーザーが、実行可能なテンプレートを実行し、許可されたBitbucketリポジトリに影響を与える場合、想定される作業領域以外のファイルシステムパスに影響を与える可能性があります。バックエンドの構成によっては、これにより、バックエンドの機密性、完全性、または可用性が損なわれる可能性があります。

### 修正

- `@backstage/plugin-scaffolder-backend-module-bitbucket-cloud` のバージョン: `0.3.10`
- `@backstage/plugin-scaffolder-backend-module-bitbucket-server` のバージョン: `0.2.25`

### 対策

- 影響を受けるScaffolderテンプレートの実行を、信頼できるユーザーに制限する。
- これらのアクションにおいて、ユーザーが制御するターゲットリポジトリを受け入れるテンプレートの使用を避ける。

影響を受けるパッケージ:
- npm (JavaScript) `@backstage/plugin-scaffolder-backend-module-bitbucket-cloud`: 影響を受けるバージョンは `0.3.10` 未満、`0.3.10` で修正済み。
- npm (JavaScript) `@backstage/plugin-scaffolder-backend-module-bitbucket-server`: 影響を受けるバージョンは `0.2.25` 未満、`0.2.25` で修正済み。