CVE-2026-11417

WysokieCVSS 7.3

Opublikowano: 10/06/2026(UTC)Zaktualizowano: 10/06/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.03%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

W bibliotece aws-cdk-lib przed wersją 2.245.0 (2.246.0 na Windows) występuje podatność na wstrzykiwanie poleceń systemowych w lokalnym procesie bundlingu NodejsFunction. Atakujący, który kontroluje wartości jednego lub więcej właściwości bundlingu, może wykonać dowolne polecenia na hoście uruchamiającym narzędzia CDK.

Ocena ryzyka

Podatność ta może prowadzić do nieautoryzowanego dostępu do systemu oraz wykonania złośliwego kodu, co stwarza poważne zagrożenie dla bezpieczeństwa organizacji.

Rekomendacja

Zaleca się aktualizację do wersji aws-cdk-lib 2.245.0 (2.246.0 na Windows) lub nowszej, aby usunąć tę podatność.

Inne podatności w aws-cdk-lib

CVE-2026-13760Wysokie
Podatność na wstrzykiwanie poleceń systemu operacyjnego w potoku budowania obrazów Docker dla funkcji Node.js w bibliotece AWS aws-cdk-lib. Atakujący kontrolujący ciągi wersji zależności w pliku package.json może wykonać dowolne polecenia na hoście z narzędziami CDK poprzez wstrzyknięcie metaznaków powłoki w pomocniku OsCommand.

Oryginalny opis (angielski, źródło NVD)

OS command injection in the NodejsFunction local bundling pipeline in aws-cdk-lib before 2.245.0 (2.246.0 on Windows) might allow an actor who controls the value of one or more bundling properties (externalModules, define, loader, inject, or esbuildArgs) to execute arbitrary commands on the host running the CDK toolchain via injected shell metacharacters. This issue requires the threat actor to control the value of one or more of the affected bundling properties in the CDK application. To remediate this issue, users should upgrade to aws-cdk-lib 2.245.0 (2.246.0 on Windows) or later.