Backstageにおいて、TechDocsのMarkdown拡張機能の設定において、不適切な入力検証が行われています。

### 影響

認証されたユーザーが、ドキュメントソースの登録または変更を行うことができる場合、TechDocsのビルドプロセスが、意図されたドキュメントの範囲外にあるリソースにアクセスする可能性があります。デプロイメントの設定によっては、機密性の高いバックエンドホストのデータや、内部ネットワークのリソースが公開される可能性があります。

### 修正

`@backstage/plugin-techdocs-node`のバージョン`1.15.4`で修正されました。

利用者も、`pymdown-extensions`のバージョン`10.21.3`以降、通常は`mkdocs-techdocs-core`のバージョン`1.7.0`以降を使用する必要があります。`@backstage/plugin-techdocs-node`は、ジェネレーターで使用されるPythonの依存関係を制御していません。古いPyMdownのバージョンを使用している場合、設定が修正されていても、ファイルインクルージョンの脆弱性が残る可能性があります。

### 対策

- 信頼できるリポジトリからのみ、レビュー済みのMkDocs設定を使用してTechDocsを生成する。
- ファイルシステムへのアクセスやネットワークからのアクセスが制限された、隔離されたビルド環境を使用する。
- 適切にサンドボックス化されたCI環境で生成されたTechDocsを使用する。

影響を受けるパッケージ：
- npm (JavaScript) `@backstage/plugin-techdocs-node`: 影響を受けるバージョンは1.15.4未満、修正されたバージョンは1.15.4。