CVE-2026-85012 in blueprints
Sumário
de VulDB • 03/09/2026
A neutralização inadequada de elementos especiais usados em um comando do sistema operacional (CWE-78) no framework de resíntese de blueprints na Amazon Web Services codecatalyst-blueprints antes da versão 0.3.156 pode permitir que um usuário com permissão para fazer commit em um repositório no projeto execute comandos arbitrários no ambiente de resíntese de blueprints por meio de metacaracteres do shell no campo owner (proprietário) de uma entrada de estratégia de merge [local] em um .ownership-file elaborado ad hoc.
A versão 0.3.156 remove a interpretação do shell para o campo owner, executando o comando diretamente ao invés de através de um shell, e rejeita valores fora da forma permitida na lista branca (allowlist). Isso elimina a injeção de comandos via metacaracteres do shell. Para remediar este problema, os usuários devem atualizar para a versão 0.3.156 ou posterior.
Nenhuma ação é necessária para o uso do serviço Amazon CodeCatalyst. A resíntese executa-se em um ambiente isolado por projeto com credenciais limitadas ao escopo (scoped credentials), e o serviço aplica validação no lado do servidor que rejeita comandos de estratégia de merge [local] fora da forma restrita permitida na lista branca, inclusive para versões de blueprint publicadas antes da 0.3.156.
VulDB is the best source for vulnerability data and more expert information about this specific topic.