CVE-2026-15895：AWS jsii 中的 jsii-diff 作業系統命令注入
公告 ID：2026-057-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期：2026 年 7 月 15 日中午 12:00 (太平洋夏令時間)
最後更新日期：2026 年 7 月 16 日上午 10:30 (太平洋夏令時間)
描述：
jsii-diff 是一個命令列工具，用於比較兩個 jsii 組件之間的 API 差異，如果 API 存在向後不相容的變更，則會報告錯誤。我們已識別 CVE-2026-15895 問題，即可以透過此工具使用特殊格式的命令列引數來執行 Shell 命令。
受影響版本：<1.131.0
解決方案：
此問題已在 jsii-diff 版本 1.131.0 中得到解決。建議您升級至最新版本，並確保所有分支或衍生程式碼皆已套用修補程式，以納入最新修正。
變通方法：
如果您無法更新，請確保只有受信任的執行者可以控制傳遞給 jsii-diff 的引數。
參考資料：
致謝：
我們誠摯感謝 Junming Wu 透過協調的漏洞披露程序，與我們協作解決此問題。
如有任何安全問題或疑慮，請寄電子郵件至 aws-security@amazon.com。