CVE-2026-108096：AWS Amplify API 類別中 SQL 支援模型的查詢解析程式中的不當授權
公告 ID： 2026-133-AWS
範圍：AWS
內容類型：重要 （需要注意）
發佈日期： 10/09/2026 11：00 AM PDT
描述：
AWS Amplify API 類別是一種 CDK 建構程式庫，用於將具有授權規則的 GraphQL 資料模型定義為 AWS AppSync APIs。我們識別了 CVE-2026-108096，其中 @aws-amplify/graphql-index-transformer 產生的查詢解析程式中的不當授權可能允許已驗證的遠端使用者透過製作的查詢讀取相同應用程式的其他使用者擁有的記錄。
受影響的版本：
- @aws-amplify/graphql-index-transformer >=2.2.0、<3.1.2；
- @aws-amplify/graphql-api-construct >=1.4.0、<1.21.4；
- @aws-amplify/data-construct <1.17.4
解決方案：
此問題已在 @aws-amplify/graphql-index-transformer 3.1.2 （包含在 @aws-amplify/data-construct 1.17.4 和 @aws-amplify/graphql-api-construct 1.21.4 中) 中解決。我們建議升級到最新版本，確保修補任何分支或衍生程式碼，以納入新的修正，然後重新部署其後端。
解決方法：
沒有可用的變通方法。
參考資料：
如有任何安全性問題或疑慮，請傳送電子郵件至 aws-security@amazon.com 。