CVE-2026-18061
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Nieprawidłowe ograniczenie odwołań do zewnętrznych encji XML w RemoteQueryCachePlugin w AWS Advanced JDBC Wrapper w wersjach od 3.3.0 do 4.2.0 może pozwolić podmiotowi z dostępem zapisu do współdzielonej infrastruktury pamięci podręcznej na ujawnienie poufnych plików z hostów aplikacji odczytujących wyniki zapytań z pamięci podręcznej, w tym przechowywanych poświadczeń bazy danych i ról IAM, poprzez spreparowane dane XML w wartości kolumny pamięci podręcznej.
Ocena ryzyka
Atakujący z dostępem zapisu do współdzielonej pamięci podręcznej może wykraść poświadczenia bazy danych i IAM, co może prowadzić do pełnego przejęcia kontroli nad środowiskiem chmurowym.
Rekomendacja
Zaktualizuj AWS Advanced JDBC Wrapper do wersji 4.3.0 lub nowszej. Ogranicz dostęp zapisu do współdzielonej infrastruktury pamięci podręcznej do zaufanych podmiotów.
Inne podatności w AWS Advanced JDBC Wrapper
Oryginalny opis (angielski, źródło NVD)
Improper restriction of XML external entity references in the RemoteQueryCachePlugin in AWS Advanced JDBC Wrapper 3.3.0 through 4.2.0 might allow an actor with write access to the shared cache infrastructure to disclose sensitive files from application hosts that read cached query results, including stored database and IAM role credentials, via crafted XML data in a cached column value. To remediate this issue, users should upgrade to version 4.3.0 or later.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS