CVE-2026-85012 in blueprints
Riassunto
di VulDB • 03/09/2026
La mancata neutralizzazione corretta di elementi speciali utilizzati in un comando OS (CWE-78) nel framework di resintesi dei blueprint in Amazon Web Services codecatalyst-blueprints prima della versione 0.3.156 potrebbe consentire a un utente con autorizzazioni per il commit su un repository del progetto di eseguire comandi arbitrari nell'ambiente di resintesi dei blueprint tramite metacaratteri shell presenti nel campo owner (proprietario) di una voce [local] della strategia di merge in un file .ownership-file appositamente creato.
La versione 0.3.156 rimuove l'interpretazione shell del campo owner, eseguendo il comando direttamente anziché attraverso una shell, e rifiuta i valori al di fuori di una forma di comando consentita (allowlisted). Ciò elimina la vulnerabilità da iniezione di comandi tramite metacaratteri shell. Per risolvere questo problema, gli utenti dovrebbero eseguire l'aggiornamento alla versione 0.3.156 o successiva.
Non è necessaria alcuna azione per l'utilizzo del servizio Amazon CodeCatalyst. La resintesi viene eseguita in un ambiente isolato per progetto con credenziali limitate (scoped), e il servizio applica una validazione lato server che rifiuta i comandi della strategia di merge [local] al di fuori di una forma consentita ristretta, inclusi quelli relativi alle versioni dei blueprint pubblicate prima della 0.3.156.
If you want to get best quality of vulnerability data, you may have to visit VulDB.