CVE-2026-108096：AWS Amplify API 类别中 SQL 支持的模型的查询解析器授权不正确
公告 ID： 2026-13
3-AWS 范围：亚马逊云科技
内容类型：重要（需要注意）
发布日期：太平洋夏令时间 2026 年 9 月 10 日上午 11:00
描述：
AWS Amplify API 类别是一个 CDK Construct 库，用于将授权规则的 GraphQL 数据模型定义为 AWS AppSync API。我们发现了 CVE-2026-108096，其中 @aws-amplify/graphql-index-transformer 生成的查询解析器中的不当授权可能允许经过身份验证的远程用户通过构建的查询读取同一应用程序的其他用户拥有的记录。
受影响的版本：
- @aws-amplify/graphql-index-transformer >=2.2.0，<3.1.2；
- @aws-amplify/graphql-api-construct >=1.4.0，<1.21.4；
- @aws-amplify/data-construct <1.17.4
解决方案：
这个问题已在 @aws-amplify/graphql-index-transformer 3.1.2（包含在 @aws-amplify/data-construct 1.17.4 和 @aws-amplify/graphql-api-construct 1.21.4 中）中得到解决。 我们建议升级到最新版本，确保对任何分叉或衍生代码进行修补以纳入新的修复程序，然后重新部署其后端。
临时措施：
没有可用的临时措施。
参考文献：
如有任何安全问题或疑虑，请发送电子邮件至 20826501542636245332576238187977269 0052。