CVE-2026-106503 [高] Backstage: スキャフォルダーのアクション入力における認証バイパス。

バックステージ：Scaffolderの操作入力認証バイパス

### 影響

影響を受けるScaffolderテンプレートへのアクセス権を持つ認証済みユーザーは、設定された操作制限を回避できる可能性があります。統合に使用する認証情報によっては、これにより、リポジトリや関連するソースコード管理リソースへの不正なアクセスが可能になる場合があります。

### 修正

`@backstage/plugin-scaffolder-backend`のバージョン`4.1.0`で修正されました。

### 対策

- 影響を受けるScaffolderの操作を、信頼できるユーザーにのみ許可し、ソースコード管理の統合において、最小限の権限を持つ認証情報を使用するように設定してください。

影響を受けるパッケージ：
- npm (JavaScript) @backstage/plugin-scaffolder-backend: 影響を受けるバージョンは3.3.1未満、3.3.1で修正済み
- npm (JavaScript) @backstage/plugin-scaffolder-backend: 影響を受けるバージョンは3.4.0以上、3.4.1未満、3.4.1で修正済み
- npm (JavaScript) @backstage/plugin-scaffolder-backend: 影響を受けるバージョンは4.0.0以上、4.0.3未満、4.0.3で修正済み
- npm (JavaScript) @backstage/plugin-scaffolder-backend: 影響を受けるバージョンは4.0.4以上、4.1.0未満、4.1.0で修正済み