CVE-2026-85012 in blueprints
Résumé
par VulDB • 03/09/2026
Une mauvaise neutralisation des éléments spéciaux utilisés dans une commande OS (CWE-78) au sein du framework de résynthèse de blueprints chez Amazon Web Services codecatalyst-blueprints, avant la version 0.3.156, pourrait permettre à un utilisateur disposant d'autorisations pour valider des modifications (commit) sur le dépôt dans le projet d'exécuter des commandes arbitraires dans l'environnement de résynthèse de blueprints via des métacaractères shell présents dans le champ propriétaire (owner field) d'une entrée de stratégie de fusion [locale] dans un fichier .ownership-file fabriqué.
La version 0.3.156 supprime l'interprétation du shell pour le champ owner, en exécutant la commande directement plutôt que via un shell, et rejette les valeurs ne correspondant pas à une forme autorisée (allowlisted). Cela élimine l'injection de commandes par métacaractères shell. Pour remédier à ce problème, les utilisateurs doivent mettre à niveau vers la version 0.3.156 ou ultérieure.
Aucune action n'est requise pour l'utilisation du service Amazon CodeCatalyst. La résynthèse s'exécute dans un environnement isolé par projet avec des identifiants limités (scoped credentials), et le service applique une validation côté serveur qui rejette les commandes de stratégie de fusion [locale] ne correspondant pas à la forme autorisée restreinte, y compris pour les versions de blueprints publiées avant la 0.3.156.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.