CVE-2026-89332
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Funkcja Kiro Powers w Amazon Kiro IDE przed wersją 0.8.135 pozwala na włączenie funkcjonalności z niezaufanej strefy kontroli. Złośliwa zawartość repozytorium może zmodyfikować plik ustawień workspace, przekierowując żądanie rejestru Kiro Powers do punktu końcowego kontrolowanego przez atakującego i wysyłając dane workspace po otwarciu panelu Powers.
Ocena ryzyka
Atakujący może uzyskać dostęp do poufnych informacji z stacji roboczej dewelopera, w tym danych uwierzytelniających obecnych w projekcie, co może prowadzić do dalszej kompromitacji.
Rekomendacja
Zaktualizuj Kiro IDE do wersji 0.8.135 lub nowszej. Jeśli projekt był otwierany w starszej wersji, obróć wszelkie dane uwierzytelniające, które mogły być obecne w tym projekcie.
Inne podatności w Amazon Kiro IDE
Zobacz wszystkie- CVE-2026-95985Wysokie
Narzędzie do zapisu plików w Amazon Kiro IDE w wersjach przed 1.0.242 może pozwolić zdalnym nieuwierzytelnionym podmiotom na wstrzyknięcie spreparowanych instrukcji do kontekstu agenta. Gdy użytkownik uruchomi agenta w spreparowanym repozytorium jako niezaufany obszar roboczy, wysłanie dowolnej wiadomości może spowodować automatyczne modyfikacje globalnych ścieżek konfiguracji przez agenta. Zaleca się aktualizację do wersji 1.0.242 lub nowszej.
- CVE-2026-10591Wysokie
Niewystarczające ograniczenia kontroli dostępu w narzędziu do zapisu plików w Amazon Kiro IDE przed wersją 0.11 mogą umożliwić zdalnym, nieuwierzytelnionym aktorom wykonanie dowolnych poleceń poprzez spreparowane instrukcje, które powodują zapis do ścieżek wrażliwych na wykonanie (takich jak .vscode/tasks.json), umożliwiając automatyczne wykonanie po otwarciu folderu.
Oryginalny opis (angielski, źródło NVD)
Inclusion of functionality from an untrusted control sphere in the Kiro Powers feature in Amazon Kiro IDE before version 0.8.135 might allow remote unauthenticated actors to obtain sensitive information from a developer workstation. Crafted repository content can cause the agent to modify the workspace settings file, which redirects the Kiro Powers registry request to an actor controlled endpoint and sends workspace data to that endpoint when the Powers panel is opened. To remediate this issue, users should upgrade to Kiro IDE version 0.8.135 or later. Users who opened a project in an earlier version should also rotate any credentials that were present in that project.