CVE-2026-108096 : Autorisation incorrecte dans les résolveurs de requêtes pour les modèles basés sur SQL dans la catégorie d'API AWS Amplify
ID du bulletin : Champ d'application 2026-133-AWS :
Type
de contenu AWS : Important (nécessite votre attention) Date de
publication : 10/09/2026 11:00 PDT
Description :
La catégorie d'API AWS Amplify est une bibliothèque CDK Construct permettant de définir des modèles de données GraphQL avec des règles d'autorisation en tant qu'API AWS AppSync. Nous avons identifié CVE-2026-108096, où une autorisation incorrecte dans les résolveurs de requêtes générés par @aws -amplify/graphql-index-transformer pourrait permettre à un utilisateur distant authentifié de lire des enregistrements appartenant à d'autres utilisateurs de la même application via des requêtes contrefaites.
Versions concernées :
- @aws -amplify/graphql-index-transformateur >=2.2.0, <3.1.2 ;
- @aws -amplify/graphql-api-construct >=1.4.0, <1.21.4 ;
- @aws -amplify/data-construct <1.17.4
Résolution :
Ce problème a été résolu dans @aws -amplify/graphql-index-transformer 3.1.2 (inclus dans @aws -amplify/data-construct 1.17.4 et @aws -amplify/graphql-api-construct 1.21.4). Nous vous recommandons de passer à la dernière version en vous assurant que tout code bifurqué ou dérivé est corrigé pour intégrer les nouveaux correctifs, puis de redéployer leur backend.
Solutions de contournement :
Aucune solution n'est disponible.
Références :
Veuillez envoyer un e-mail au aws-security@amazon.com pour toute question ou préoccupation de sécurité.