CVE-2026-18481mediumCWE-79

CVE-2026-18481: falha de média gravidade em AWS Ops Wheel

Stored XSS in Participant URL Field leads to Account Takeover via Session Token Theft

Publicada em

Seguir esta CVE+ Monitorar AWS Ops Wheel

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.2epss 0.5%
Stored cross-site scripting in the participant URL handling in AWS Ops Wheel before PR #168 might allow an authenticated remote user to steal session tokens and escalate to full administrative control of the deployed instance via a crafted participant_url value containing a dangerous URI scheme. To remediate this issue, users should redeploy from the latest version of aws-ops-wheel.
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N
Produtos afetados
AWS · AWS Ops Wheel
CVEs relacionadas — AWS Ops Wheel

No mesmo produto, das mais perigosas para as menos.

CVE-2026-6912HIGHPrivilege Escalation via Self-Writable Cognito Custom Attribute in AWS Ops WheelEPSS 0.6%CVE-2026-6911CRITICALAuthentication Bypass via Missing JWT Signature Verification in AWS Ops WheelEPSS 0.3%