CVE-2026-108096: Unsachgemäße Autorisierung in Abfrage-Resolvern für SQL-gestützte Modelle in der API-Kategorie AWS Amplify
Bulletin-ID: 2026-133-AWS Geltungsbereich:
AWS-Inhaltstyp:
Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 10.09.2026, 11:00 Uhr PDT
Beschreibung:
Die AWS Amplify API Category ist eine CDK Construct-Bibliothek zur Definition von GraphQL-Datenmodellen mit Autorisierungsregeln als AWS AppSync-APIs. Wir haben CVE-2026-108096 identifiziert, bei dem eine falsche Autorisierung in den von @aws -amplify/graphql-index-transformer generierten Abfrage-Resolvern es einem authentifizierten Remote-Benutzer ermöglichen könnte, Datensätze anderer Benutzer derselben Anwendung über benutzerdefinierte Abfragen zu lesen.
Betroffene Versionen:
- @aws -amplify/graphql-index-transformer >=2.2.0, <3.1.2;
- @aws -amplify/graphql-index-transformator >=2.2.0 ,=1.4.0, <1.21.4;
- @aws -amplify/Datenkonstrukt <1.17.4
Auflösung:
Dieses Problem wurde in @aws -amplify/graphql-index-transformer 3.1.2 behoben (enthalten in @aws -amplify/data-construct 1.17.4 und @aws -amplify/graphql-api-construct 1.21.4). Wir empfehlen, auf die neueste Version zu aktualisieren, sicherzustellen, dass jeglicher geforkte oder abgeleitete Code gepatcht ist, um die neuen Fixes zu integrieren, und dann das Backend erneut bereitzustellen.
Problemumgehungen:
Es sind keine Problemumgehungen verfügbar.
Referenzen:
Bitte senden Sie eine E-Mail an aws-security@amazon.com, wenn Sie Sicherheitsfragen oder Bedenken haben.