CVE-2026-11417highCWE-78

CVE-2026-11417: falha de alta gravidade em AWS Cloud Development Kit library

OS Command Injection in NodejsFunction Bundling in aws-cdk-lib

Publicada em

Seguir esta CVE+ Monitorar AWS Cloud Development Kit library+ Monitorar aws-cdk-lib

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

41Vexday Risk Score

Sem sinal de exploração. Ela tem prova de conceito pública.

ssvc Attendcvss 7epss 1.0%
da publicação à arma3 dias
Publicada no NVD10 de jun.
1ª PoC+3d
Em resumo

Uma falha na ferramenta de empacotamento NodeJS do AWS CDK permite que alguém que controle certas configurações execute comandos maliciosos no seu computador durante a construção da aplicação. Isso é perigoso porque dá acesso ao seu sistema e aos dados sensíveis.

Detalhe técnico

Injeção de comando do sistema operacional através de propriedades de empacotamento não sanitizadas (externalModules, define, loader, inject, esbuildArgs) no pipeline local de NodejsFunction. O vetor de ataque requer que o ator controle a configuração da aplicação CDK; metacaracteres de shell maliciosos nas propriedades afetadas são passados de forma insegura para execução de shell durante o tempo de construção. O impacto inclui execução de comando arbitrário no host executando o CDK com os privilégios do processo CDK.

Resumo gerado e traduzido por IA a partir da descrição oficial.
OS command injection in the NodejsFunction local bundling pipeline in aws-cdk-lib before 2.245.0 (2.246.0 on Windows) might allow an actor who controls the value of one or more bundling properties (externalModules, define, loader, inject, or esbuildArgs) to execute arbitrary commands on the host running the CDK toolchain via injected shell metacharacters. This issue requires the threat actor to control the value of one or more of the affected bundling properties in the CDK application. To remediate this issue, users should upgrade to aws-cdk-lib 2.245.0 (2.246.0 on Windows) or later.
CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Produtos afetados
AWS · AWS Cloud Development Kit library
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.