CVE-2026-108096: Autorização imprópria em resolvedores de consultas para modelos baseados em SQL na categoria de API do AWS Amplify
ID do boletim: Escopo 2026-133-AWS:
Tipo de
conteúdo da AWS: Importante (requer atenção) Data de
publicação: 10/09/2026 11:00 PDT
Descrição:
A categoria de API do AWS Amplify é uma biblioteca do CDK Construct para definir modelos de dados do GraphQL com regras de autorização como APIs do AWS AppSync. Identificamos o CVE-2026-108096, em que a autorização imprópria nos resolvedores de consulta gerados por @aws -amplify/graphql-index-transformer pode permitir que um usuário remoto autenticado leia registros pertencentes a outros usuários do mesmo aplicativo por meio de consultas criadas.
Versões afetadas:
- @aws -amplify/graphql-index-transformador >=2.2.0, <3.1.2;
- @aws -amplify/graphql-api-construct >=1,4.0, <1,21,4;
- @aws -amplify/data-construct <1.17.4
Resolução:
Esse problema foi resolvido em @aws -amplify/graphql-index-transformer 3.1.2 (incluído em @aws -amplify/data-construct 1.17.4 e @aws -amplify/graphql-api-construct 1.21.4). Recomendamos atualizar para a versão mais recente, garantindo que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções e, em seguida, reimplantar seu back-end.
Soluções alternativas:
Nenhuma solução alternativa está disponível.
Referências:
Envie um e-mail para aws-security@amazon.com com quaisquer perguntas ou preocupações de segurança.