CVE-2024-28056
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Wysokie ryzykoPercentyl 75 - wyżej niż 75% wszystkich znanych CVE
Streszczenie
Amazon AWS Amplify CLI przed wersją 12.10.1 nieprawidłowo konfiguruje politykę zaufania ról IAM powiązanych z projektami Amplify. Po usunięciu komponentu Authentication z projektu Amplify, warunek Condition jest usuwany, ale 'Effect':'Allow' pozostaje, co umożliwia sts:AssumeRoleWithWebIdentity bez żadnych warunków.
Ocena ryzyka
Osoba atakująca może wykorzystać tę lukę do przejęcia roli i uzyskania nieautoryzowanego dostępu do zasobów AWS organizacji, jeśli wcześniej uwierzytelniony użytkownik AWS usunął komponent Authentication.
Rekomendacja
Zaktualizuj AWS Amplify CLI do wersji 12.10.1 lub nowszej oraz przejrzyj istniejące projekty Amplify pod kątem nieprawidłowo skonfigurowanych polityk zaufania ról IAM.
Powiązane podatności
- CVE-2026-111862Krytyczne
Wtyczka Rank Math SEO PRO dla WordPress została dotknięta kompromitacją łańcucha dostaw w części pakietów wersji 3.0.123 pobranych lub zaktualizowanych między 15 października 2026 20:02 UTC a 16 października 2026 07:12 UTC. Zainfekowane pliki zawierały złośliwe oprogramowanie, które mogło przejąć witrynę po aktywacji wtyczki, ustanowić trwały dostęp, komunikować się z rank1cdn[.]com i ujawniać poświadczenia WordPress, bazy danych, klucze API oraz inne sekrety.
- CVE-2026-107188Krytyczne
Użytkownik może przesłać raporty eksportu o dowolnej zawartości i określić dowolne rozszerzenie pliku, w tym JSPX, a następnie każdy może uzyskać dostęp do przesłanego pliku, co prowadzi do wykonania kodu. Podatność na obejście uwierzytelniania może być połączona z tą podatnością, umożliwiając uruchomienie kodu na serwerze bez uwierzytelnienia.
- CVE-2026-111058Krytyczne
Mercury to framework Pythona do udostępniania notatników Jupyter jako aplikacji webowych. W wersjach przed 3.2.6 domyślne wdrożenia bez tokenów pozwalają anonimowym klientom tworzyć jądra Jupyter i wysyłać komunikaty execute_request z dowolnym kodem Pythona. Lista blokowanych endpointów nie obejmuje /api/kernels, a wrapper websocket nie autoryzował wykonywalnych komunikatów.
- CVE-2026-111057Krytyczne
Mercury to framework Pythona do udostępniania notatników Jupyter. W wersjach od 3.0.0 do 3.2.4 brakujący przecinek w BLOCKED_PATTERNS łączy wyrażenia regularne /lab i /api/terminals, przez co żądania do /api/terminals omijają blokadę anonimowych endpointów i docierają do API terminala Jupyter Server. Nieuwierzytelniony atakujący może uzyskać interaktywną powłokę systemu operacyjnego i wykonywać polecenia.
- CVE-2026-109432Krytyczne
Camunda w wersjach 7.24.0 przed 7.24.14 i 7.23.0 przed 7.23.17 zawiera podatność na wstrzyknięcie wyrażeń, w której AdhocQueryValidator.validate() nie sprawdza map wyrażeń podzapytań w polu orQueries udostępnianym przez TaskQueryDto. Uwierzytelnieni użytkownicy mogą obejść ograniczenie enableExpressionsInAdhocQueries i dostarczyć złośliwe wyrażenie JUEL, takie jak dueAfterExpression, aby uzyskać dowolną refleksję Java i wywołać java.lang.Runtime.exec, co prowadzi do wykonania poleceń systemowych.
- CVE-2026-112296Krytyczne
FlyCms do commita edfdf724 zawiera podatność związaną z domyślnymi poświadczeniami, która pozwala nieuwierzytelnionym zdalnym atakującym uzyskać dostęp superadministratora za pomocą konta flycms z hasłem admin123. Atakujący mogą zalogować się przez POST /api/auth/login, rozwiązując jedynie captchę obrazkową, i uzyskać pełną kontrolę nad treścią, użytkownikami i konfiguracją witryny.
- CVE-2026-112292Krytyczne
CheckCle do wersji 1.6.0 zawiera podatność związaną z brakiem autoryzacji, która pozwala nieuwierzytelnionym atakującym odczytywać, modyfikować i usuwać rekordy, ponieważ dostarczane kolekcje PocketBase używają pustych reguł API. Atakujący mogą odpytywać endpointy /api/collections/<name>/records, aby wykradać wartości server_token i sekrety alert_configurations, wyłączać alerty, zmieniać strony statusu lub usuwać dane monitoringu.
- CVE-2026-78162Krytyczne
Podatność deserializacji niezaufanych danych w Apache Camel dotyczy komponentu camel-hazelcast. Dwie ścieżki konfiguracji (ReplicatedHazelcastAggregationRepository oraz tryb klienta w HazelcastDefaultComponent) nie stosują filtra JavaSerializationFilterConfig, co pozwala atakującemu na zdalne wykonanie kodu poprzez wstrzyknięcie złośliwego obiektu Java do klastra Hazelcast.
- CVE-2026-111406Krytyczne
Wtyczka MapSVG (mapy wektorowe dla WordPress) do wersji 8.16.1 pozwala na nieograniczone przesyłanie plików niebezpiecznego typu. Umożliwia to atakującemu przesłanie i uruchomienie webshella na serwerze WWW.
- CVE-2026-110887Krytyczne
Wtyczka HivePress do wersji 1.7.32 zawiera podatność typu code injection wynikającą z niewłaściwej kontroli generowania kodu. Umożliwia to zdalne włączenie kodu do aplikacji.
Oryginalny opis (angielski, źródło NVD)
Amazon AWS Amplify CLI before 12.10.1 incorrectly configures the role trust policy of IAM roles associated with Amplify projects. When the Authentication component is removed from an Amplify project, a Condition property is removed but "Effect":"Allow" remains present, and consequently sts:AssumeRoleWithWebIdentity would be available to threat actors with no conditions. Thus, if Amplify CLI had been used to remove the Authentication component from a project built between August 2019 and January 2024, an "assume role" may have occurred, and may have been leveraged to obtain unauthorized access to an organization's AWS resources. NOTE: the problem could only occur if an authorized AWS user removed an Authentication component. (The vulnerability did not give a threat actor the ability to remove an Authentication component.) However, in realistic situations, an authorized AWS user may have removed an Authentication component, e.g., if the objective were to stop using built-in Cognito resources, or move to a completely different identity provider.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS