CVE-2026-15895：在 AWS jsii 的 jsii-diff 中注入操作系统命令
公告 ID： 2026-057-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 7 月 15 日下午 12:00（太平洋夏令时）
上次更新日期：2026 年 7 月 16 日上午 10:30（太平洋夏令时）
描述：
jsii-diff 是一个命令行工具，用于比较两个 jsii 程序集之间的 API 差异，如果对 API 进行向后不兼容的更改，则报告错误。我们已发现 CVE-2026-15895 问题，其中可以通过此工具使用特殊格式的命令行参数来执行 shell 命令。
受影响的版本： <1.131.0
解决方法：
此问题已在 jsii-diff 版本 1.131.0 中予以解决建议您升级到最新版本，并确保对任何分叉代码或派生代码进行修补，以纳入新的修复程序。
临时措施：
如果您无法更新，请确保只有可信参与者可控制传递给 jsii-diff 的参数。
参考：
致谢：
我们非常感谢 Junming Wu 通过协调漏洞披露流程针对这个问题进行的合作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。