CVE-2026-108096
Beschreibung
Unsachgemäße Autorisierung in den Abfrage-Resolvern, die von @aws-amplify/graphql-index-transformer in der AWS Amplify API-Kategorie vor 3.1.2 generiert wurden, kann es einem authentifizierten Remote-Benutzer ermöglichen, Datensätze zu lesen, die anderen Benutzern derselben Anwendung gehören, über gestaltete Abfragen. Dieses Problem wurde in @aws-amplify/graphql-index-transformer 3.1.2 https://www.npmjs.com/package/@aws-amplify/graphql-index-transformer/v/3.1.2 behandelt (inklusive @aws-amplify/data-construct 1.17.4 https://www.npmjs.com/package/@aws-amplify/data-construct/v/1.17.4 und @aws-amplify/graphql-api-construct 1.21.4 https://www.npmjs.com/package/@aws-amplify/graphql-api-construct/v/1.21.4 ). Wir empfehlen ein Upgrade auf die neueste Version, um sicherzustellen, dass ein Forked- oder Derivatcode gepatcht wird, um die neuen Fixes zu integrieren, und dann das Backend neu bereitzustellen.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.