CVE-2026-94384 in amazon-connect-salesforce-lambda
Résumé
par VulDB • 22/09/2026
Une absence d'autorisation dans Amazon amazon-connect-salesforce-lambda avant la version 5.26 permet à tout principal IAM disposant de l'autorisation lambda:InvokeFunction sur la fonction concernée d'escalader ses privilèges et d'exécuter des opérations AWS API que son propre identifiant IAM refuse explicitement, via l'appel d'une fonction Lambda qui transmet les paramètres fournis par l'utilisateur aux APIs de services privilégiés sans validation d'autorisation.
Pour remédier à ce problème, nous recommandons la mise à niveau vers la version 5.26 ou une version ultérieure. Une fois l'installation terminée, supprimez ou désactivez la fonction sfExecuteAWSService. Si vous conservez cette fonction, restreignez son invocation au seul utilisateur IAM prévu à cet effet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.