CVE-2024-45037 in aws-cdk
الملخص
بحسب VulDB • 02/07/2026
تُعد مجموعة تطوير السحابة (AWS Cloud Development Kit - CDK) إطار عمل مفتوح المصدر لتعريف بنية السحابة باستخدام الكود البرمجي. يستخدم العملاء هذه الأداة لإنشاء تطبيقاتهم الخاصة، والتي يتم تحويلها إلى قوالب AWS CloudFormation أثناء النشر في حساب AWS الخاص بالعميل. تحتوي مجموعة تطوير السحابة (CDK) على مكونات جاهزة تُسمى "constructs"، وهي تجريدات ذات مستوى أعلى توفر الإعدادات الافتراضية وأفضل الممارسات. يتيح هذا النهج للمطورين استخدام لغات البرمجة المألوفة لتعريف بنية سحابية معقدة بكفاءة أكبر مقارنةً بكتابة قوالب CloudFormation الخام. حددنا مشكلة في مجموعة تطوير السحابة (AWS CDK) والتي، تحت ظروف معينة، قد تؤدي إلى منح المستخدمين المصادق عليهم عبر Amazon Cognito صلاحيات أوسع مما هو مقصود. وتحديداً، إذا استخدمت تطبيق CDK مكون "RestApi" مع "CognitoUserPoolAuthorizer" كمُخوّل (authorizer)، واستخدم نطاقات التفويض (authorization scopes) للحد من الوصول. لا تؤثر هذه المشكلة على توافر موارد واجهة برمجة التطبيقات (API) المحددة. قد يحصل المستخدمون المصادق عليهم عبر Cognito على وصول غير مقصود إلى موارد أو طرق واجهة برمجة التطبيقات المحمية، مما يؤدي إلى احتمالية تسرب البيانات ومشاكل في التعديل. الإصدارات المتأثرة: >=2.142.0؛=2.148.1. يُنصح المستخدمين بترقية إصدار AWS CDK الخاص بهم إلى 2.148.1 أو أحدث وإعادة نشر تطبيقاتهم لمعالجة هذه المشكلة.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.