OS Command Injection in NodejsFunction Bundling in aws-cdk-lib

Una vulnerabilidad en la herramienta de empaquetado NodeJS de AWS CDK permite que alguien que controle ciertas configuraciones ejecute comandos maliciosos en tu computadora durante la construcción de la aplicación. Esto es peligroso porque da acceso a tu sistema y datos sensibles.

Inyección de comando del sistema operativo mediante propiedades de empaquetado no sanitizadas (externalModules, define, loader, inject, esbuildArgs) en el pipeline local de NodejsFunction. El vector de ataque requiere que el actor controle la configuración de la aplicación CDK; metacaracteres de shell maliciosos en las propiedades afectadas se pasan de forma insegura a la ejecución del shell durante el tiempo de compilación. El impacto incluye ejecución de comando arbitrario en el host que ejecuta CDK con los privilegios del proceso CDK.