CVE-2026-108096: AWS Amplify API 범주의 SQL 지원 모델에 대한 쿼리 해석기의 부적절한 권한 부여
공지 ID: 2026-133-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/09/2026 오전 11:00 PDT
설명:
AWS Amplify API 범주는 권한 부여 규칙을 AWS AppSync API로 사용하여 GraphQL 데이터 모델을 정의하기 위한 CDK Construct 라이브러리입니다. APIs CVE-2026-108096을 식별했습니다. @aws-amplify/graphql-index-transformer에서 생성된 쿼리 해석기에서 부적절한 권한 부여를 통해 인증된 원격 사용자가 생성된 쿼리를 통해 동일한 애플리케이션의 다른 사용자가 소유한 레코드를 읽을 수 있습니다.
영향을 받는 버전:
- @aws-amplify/graphql-index-transformer >=2.2.0, <3.1.2;
- @aws-amplify/graphql-api-construct >=1.4.0, <1.21.4;
- @aws-amplify/data-construct <1.17.4
해결 방법:
이 문제는 @aws-amplify/graphql-index-transformer 3.1.2(@aws-amplify/data-construct 1.17.4 및 @aws-amplify/graphql-api-construct 1.21.4에 포함됨)에서 해결되었습니다. 포크 또는 파생 코드를 패치하여 새 수정 사항을 통합한 다음 백엔드를 재배포하도록 최신 버전으로 업그레이드하는 것이 좋습니다.
해결 방법:
해결 방법을 사용할 수 없습니다.
참고 사항:
보안 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주십시오.