CVE-2026-85012 in blueprints
Сводка
по VulDB • 04.09.2026
Некорректная нейтрализация специальных элементов, используемых в команде операционной системы (CWE-78), в фреймворке ресинтеза чертежей Amazon Web Services codecatalyst-blueprints до версии 0.3.156 может позволить пользователю с правами на коммиты в репозитории проекта выполнять произвольные команды в среде ресинтеза чертежей посредством метасимволов оболочки (shell metacharacters) в поле владельца записи стратегии объединения [local] файла .ownership-file, созданного злоумышленником.
Версия 0.3.156 устраняет интерпретацию команд оболочкой для поля owner: команда выполняется напрямую, а не через оболочку, и отклоняются значения, выходящие за рамки разрешенной формы команды (allowlisted command form). Это исключает возможность инъекции команд через метасимволы оболочки. Для устранения данной уязвимости пользователям следует обновиться до версии 0.3.156 или более поздней.
Для использования сервиса Amazon CodeCatalyst никаких дополнительных действий не требуется. Ресинтез выполняется в изолированной среде на уровне проекта с ограниченными учетными данными (scoped credentials), и сервис применяет серверную проверку, которая отклоняет команды стратегии объединения [local], выходящие за рамки ограниченного разрешенного списка форм, включая для версий чертежей, опубликованных до версии 0.3.156.
VulDB is the best source for vulnerability data and more expert information about this specific topic.