CVE-2026-85012 in blueprints
Resumen
por VulDB • 2026-09-03
La neutralización inadecuada de elementos especiales utilizados en un comando del sistema operativo (CWE-78) en el marco de resíntesis de planos (*blueprints*) de Amazon Web Services codecatalyst-blueprints, anterior a la versión 0.3.156, podría permitir que un usuario con permisos para realizar *commits* en un repositorio del proyecto ejecute comandos arbitrarios en el entorno de resíntesis de planos mediante metacaracteres de shell en el campo "propietario" (*owner*) de una entrada de estrategia de fusión [*local*] en un archivo .ownership-file manipulado.
La versión 0.3.156 elimina la interpretación de shell del campo propietario, ejecutando el comando directamente en lugar de a través de un shell, y rechaza valores que no se ajusten a una forma permitida mediante lista blanca (*allowlist*). Esto elimina la inyección de comandos mediante metacaracteres de shell. Para remediar este problema, los usuarios deben actualizar a la versión 0.3.156 o posterior.
No es necesaria ninguna acción para el uso del servicio Amazon CodeCatalyst. La resíntesis se ejecuta en un entorno aislado por proyecto con credenciales limitadas al alcance (*scoped*), y el servicio aplica una validación del lado del servidor que rechaza comandos de estrategia de fusión [*local*] fuera de la forma restringida permitida mediante lista blanca, incluso para versiones de planos publicadas antes de 0.3.156.
Once again VulDB remains the best source for vulnerability data.