CVE-2026-108096: Autorizzazione errata nei risolutori di query per i modelli supportati da SQL nella categoria API AWS Amplify
ID Bollettino:
2026-133-AWS Ambito di applicazione: Tipo di
contenuto AWS: Importante (richiede attenzione) Data di
pubblicazione: 10/09/2026 11:00 PDT
Descrizione:
La categoria API AWS Amplify è una libreria CDK Construct per la definizione di modelli di dati GraphQL con regole di autorizzazione come API AWS AppSync. Abbiamo identificato CVE-2026-108096, in cui un'autorizzazione impropria nei risolutori di query generati da @aws -amplify/graphql-index-transformer potrebbe consentire a un utente remoto autenticato di leggere i record di proprietà di altri utenti della stessa applicazione tramite query predefinite.
Versioni interessate:
- @aws -amplify/graphql-index-transformer >=2.2.0, <3.1.2;
- @aws -amplify/graphql-index-transformer >=2.2.0 ,=1.4.0, <1.21.4;
- @aws -amplify/data-construct <1.17.4
Risoluzione:
Questo problema è stato risolto in @aws -amplify/graphql-index-transformer 3.1.2 (incluso in @aws -amplify/data-construct 1.17.4 e @aws -amplify/graphql-api-construct 1.21.4). Consigliamo di eseguire l'aggiornamento alla versione più recente assicurandoti che qualsiasi codice biforcato o derivato sia patchato per incorporare le nuove correzioni e quindi ridistribuirne il backend.
Soluzioni alternative:
Non sono disponibili soluzioni alternative.
Riferimenti:
Invia un'e-mail al numero aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.