CVE-2026-97662

WysokieCVSS 8.2

Opublikowano: 01/10/2026(UTC)Zaktualizowano: 01/10/2026(UTC)Przetłumaczono: 02/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

W AWS security-agent-mcp-server przed wersją 0.2.0 występuje podatność na wstrzyknięcie argumentów w operacji skanowania diff, która może pozwolić atakującemu na tworzenie, nadpisywanie lub obcinanie dowolnych plików na hoście poza zamierzonym katalogiem roboczym poprzez spreparowaną wartość referencji.

Ocena ryzyka

Atakujący może modyfikować lub usuwać pliki systemowe, co może prowadzić do uszkodzenia systemu lub eskalacji uprawnień.

Rekomendacja

Zaktualizuj AWS security-agent-mcp-server do wersji 0.2.0 lub nowszej.

Inne podatności w AWS security-agent-mcp-server

CVE-2026-87913Średnie
Brak weryfikacji własności zasobnika S3 w serwerze AWS Security Agent MCP w wersjach przed 0.2.0 może pozwolić zdalnym atakującym na uzyskanie prywatnego archiwum źródłowego skanowanego workspace, w tym danych uwierzytelniających i stanu infrastruktury zawartych w tym archiwum, poprzez wcześniej zarejestrowany zasobnik storage, którego nazwa pochodzi od publicznie znanego identyfikatora konta. Aby usunąć problem, użytkownicy powinni zaktualizować do wersji 0.2.0. Użytkownicy powinni również zweryfikować, że zasobnik wyjściowy skanowania na ich koncie jest własnością ich własnego konta, ponieważ aktualizacja nie zwalnia nazwy zasobnika, którą strona trzecia już zarejestrowała.

Oryginalny opis (angielski, źródło NVD)

An argument injection issue in the diff scan operation in AWS security-agent-mcp-server before version 0.2.0 might allow context-dependent threat actors to create, overwrite, or truncate arbitrary files on the host outside the intended workspace directory via a crafted reference value supplied to the diff scan operation. To remediate this issue, users should upgrade to version 0.2.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS