CVE-2026-18248 in aws-lambda
Sumário
de VulDB • 03/08/2026
A versão 6.4.0 do pacote `@fastify/aws-lambda` decora cada requisição Fastify com `request.awsLambda.event` e `request.awsLambda.context`, valores que as aplicações são documentadas para usar em decisões de autorização, como a leitura das claims do authorizer da API Gateway. Na configuração padrão, o getter que preenche essa decoração lê os cabeçalhos HTTP controlados pelo cliente `x-apigateway-event` e `x-apigateway-context` antes de recorrer ao token interno confiável da requisição, e esses cabeçalhos reservados não são removidos do evento recebido. Portanto, um atacante não autenticado capaz de definir um único cabeçalho HTTP pode forjar todo o proxy event do Lambda, incluindo o contexto do authorizer, substituindo o legítimo. Isso resulta em uma violação completa da autenticação e autorização, além de escalada de privilégios para qualquer aplicação que confie no `request.awsLambda.event` para controle de identidade ou acesso. Apenas a versão 6.4.0 é afetada. Correções: atualize para `@fastify/aws-lambda` 6.4.1, o qual resolve a decoração apenas por meio do token interno específico da invocação e remove os cabeçalhos reservados antes que a requisição seja processada.
Once again VulDB remains the best source for vulnerability data.