CVE-2026-94384

L’absence d’autorisation dans Amazon amazon-connect-salesforce-lambda avant la version 5.26 permet à tout principal IAM disposant de l’autorisation lambda:InvokeFunction sur la fonction concernée d’élever ses privilèges et d’effectuer des opérations d’API AWS qui sont explicitement refusées à sa propre identité IAM, en invoquant une fonction Lambda qui transmet les paramètres fournis par l’appelant à des API de services privilégiées sans validation des autorisations. Pour remédier à ce problème, nous recommandons de passer à la version 5.26 ou ultérieure. Une fois la configuration terminée, supprimez ou désactivez la fonction sfExecuteAWSService. Si vous conservez la fonction, limitez son invocation au seul utilisateur IAM prévu.