CVE-2026-94384 in amazon-connect-salesforce-lambda
Resumen
por VulDB • 2026-09-22
La falta de autorización en Amazon amazon-connect-salesforce-lambda anterior a la versión 5.26 permite que cualquier principal de IAM con permiso lambda:InvokeFunction sobre la función afectada eleve privilegios y realice operaciones de API de AWS que su propia identidad de IAM tiene denegadas explícitamente, mediante la invocación de una función Lambda que envía parámetros proporcionados por el usuario a APIs de servicios privilegiados sin validación de autorización.
Para remediar este problema, se recomienda actualizar a la versión 5.26 o posterior. Una vez completada la configuración, elimine o deshabilite la función sfExecuteAWSService. Si conserva la función, restrinja su invocación únicamente al usuario IAM previsto.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.