CVE-2026-108096: Autorización incorrecta en los solucionadores de consultas para modelos respaldados por SQL en la categoría de API de AWS Amplify
ID del boletín: Alcance de 2026-133-AWS
: Tipo de contenido de
AWS: Importante (requiere atención) Fecha de
publicación: 9 de octubre de 2026 a las 11:00 a.m. PDT
Descripción:
La categoría de API de AWS Amplify es una biblioteca de CDK Construct para definir modelos de datos de GraphQL con reglas de autorización como API de AWS AppSync. Identificamos el CVE-2026-108096, en el que una autorización incorrecta en los solucionadores de consultas generados por @aws -amplify/graphql-index-transformer podía permitir a un usuario remoto autenticado leer los registros de otros usuarios de la misma aplicación mediante consultas elaboradas.
Versiones afectadas:
- @aws -amplify/graphql-index-transformer >=2.2.0, <3.1.2;
- @aws -amplify/graphql-index-transformer >=2.2.0, =1.4.0, <1.21.4;
- @aws -amplify/data-construct <1.17.4
Resolución:
Este problema se solucionó en @aws -amplify/graphql-index-transformer 3.1.2 (incluido en @aws -amplify/data-construct 1.17.4 y @aws -amplify/graphql-api-construct 1.21.4). Recomendamos actualizar a la versión más reciente asegurándose de que cualquier código derivado o bifurcado esté parcheado para incorporar las nuevas correcciones y, a continuación, volver a implementar su backend.
Soluciones alternativas:
No hay soluciones alternativas disponibles.
Referencias:
Envíe un correo electrónico al aws-security@amazon.com si tiene alguna pregunta o inquietud de seguridad.