CVE-2025-55285

lowPriorität · verfolgen · 0EPSS 0.002 · 15. PerzentilEUUS
grimoire priorityP3 · Track
Exploitable?
—
no known exploitation
Likely / severe?
0.24% (15th) EPSS
CVSS 2.6 · low
Is it mine?
2 products
Prüfe deine Angriffsfläche
Who says so?
3 sources
cnnvd · enisa_euvd · osv

EPSS · bewertet 2026-10-27

@backstage/plugin-scaffolder-backend is the backend for the default Backstage software templates. Prior to version 2.1.1, duplicate logging of the input values in the fetch:template action in the Scaffolder meant that some of the secrets were not properly redacted. If ${{ secrets.x }} is not passed through to fetch:template there is no impact. This issue has been resolved in 2.1.1 of the scaffolder-backend plugin. A workaround for this issue involves Template Authors removing the use of ${{ secrets }} being used as an argument to fetch:template.

01

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

2.6
010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen

v3.12.6lowCVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:L/I:N/A:Nsecondary · ENISA EU
v3.12.6lowCVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:L/I:N/A:Nsecondary · security-advisories@github.comAusnutzbarkeit 1 · Auswirkung 1.4
v3.12.6lowCVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:L/I:N/A:Nsecondary · OSV
v3.12.4lowCVSS:3.1/AV:N/AC:H/PR:H/UI:R/S:C/C:L/I:N/A:N/E:Usecondary · CVSS-BT (t0sche)
02

SSVC

Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.

Trackcoordinatorcisa_ssvcUS
03

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-532USCWE-532US
04

betroffene Produkte (2)

Betroffene Produkte und Versionsbereiche.

05

Advisories (1)

Hersteller- und Ökosystem-Meldungen dazu.

  • GHSA-3x3q-ghcp-whf7Template Secret leakage in logs in Scaffolder when using `fetch:template`2025-08-15ghsa · osvUS

    A logging flaw in Backstage Scaffolder’s `fetch:template` action up to `@backstage/plugin-scaffolder-backend` **2.1.0** may write template secrets to logs. The action emitted a duplicate, pre-redaction copy of input parameters, so values provided via the `{{ secrets }}` bag could appear in local/server logs when the action ran. Exploitation requires use of the `secrets` argument and access to Scaffolder/build logs; integrity and availability are unaffected. * **Fix:** upgrade to `2.1.1`, which removes the duplicate log path and ensures secrets are redacted. * **Mitigation:** avoid passing `{{ secrets }}` to `fetch:template` if upgrade is not possible. > Open an issue in the [Backstage repository](https://github.com/backstage/backstage) > > Visit our Discord, linked to in [Backstage README](https://github.com/backstage/backstage)

06

auch bekannt als (3)

Weitere Namen und Kennungen dieser Entität.

07

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvdenisa_euvdosvNVDCVE.orgMITRE
veröffentlicht 2025-08-15geändert 2026-06-17
08

Referenzen (8)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan