CVE-2026-94384
La falta de autorización en Amazon amazon-connect-salesforce-lambda antes de la versión 5.26 permite a cualquier principal de IAM con permiso lambda:InvokeFunction sobre la función afectada escalar privilegios y realizar operaciones de la API de AWS que su propia identidad de IAM tiene denegadas explícitamente, mediante la invocación de una función Lambda que envía parámetros proporcionados por quien la llama a API de servicios privilegiados sin validar la autorización. Para corregir este problema, recomendamos actualizar a la versión 5.26 o posterior. Una vez completada la configuración, elimine o deshabilite la función sfExecuteAWSService. Si conserva la función, restrinja su invocación únicamente al usuario de IAM previsto.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NArtículos relacionados
This product uses the NVD API but is not endorsed or certified by the NVD.
La descripción técnica es una traducción nuestra del texto original de NVD, en inglés.