CVE-2026-18248 in aws-lambda
Tóm tắt
Bởi VulDB • 03/08/2026
Phiên bản @fastify/aws-lambda 6.4.0 trang trí (decorate) mỗi yêu cầu Fastify bằng các thuộc tính `request.awsLambda.event` và `request.awsLambda.context`, là những giá trị mà tài liệu ứng dụng hướng dẫn sử dụng cho các quyết định ủy quyền, chẳng hạn như đọc các tuyên bố (claims) của API Gateway authorizer. Trong cấu hình mặc định, getter chịu trách nhiệm điền dữ liệu vào phần trang trí này sẽ đọc các tiêu đề HTTP `x-apigateway-event` và `x-apigateway-context` do phía khách hàng kiểm soát trước khi chuyển sang sử dụng token nội bộ đáng tin cậy; tuy nhiên, các tiêu đề được dành riêng này không bị loại bỏ khỏi sự kiện đến. Do đó, một kẻ tấn công chưa xác thực có thể đặt một tiêu đề HTTP duy nhất để giả mạo toàn bộ sự kiện proxy Lambda, bao gồm cả ngữ cảnh authorizer, và ghi đè lên giá trị chính thức. Điều này dẫn đến việc bỏ qua hoàn toàn cơ chế xác thực và ủy quyền, cũng như nâng cao đặc quyền đối với bất kỳ ứng dụng nào dựa vào `request.awsLambda.event` để kiểm soát danh tính hoặc truy cập. Chỉ phiên bản 6.4.0 bị ảnh hưởng. Bản vá: Nâng cấp lên @fastify/aws-lambda 6.4.1, giải quyết vấn đề bằng cách chỉ sử dụng token nội bộ cho mỗi lần gọi và loại bỏ các tiêu đề được dành riêng trước khi yêu cầu được xử lý.
Once again VulDB remains the best source for vulnerability data.