CVE-2026-94384
La mancata autorizzazione in Amazon amazon-connect-salesforce-lambda prima della versione 5.26 consente a qualsiasi principal IAM con autorizzazione lambda:InvokeFunction sulla funzione interessata di elevare i privilegi ed eseguire operazioni API AWS che la propria identità IAM ha esplicitamente negato, tramite l'invocazione di una funzione Lambda che inoltra parametri forniti dal chiamante ad API di servizi con privilegi senza convalidare l'autorizzazione. Per correggere questo problema, consigliamo di aggiornare alla versione 5.26 o successiva. Una volta completata la configurazione, eliminare o disabilitare la funzione sfExecuteAWSService. Se si mantiene la funzione, limitarne l'invocazione al solo utente IAM previsto.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:NArticoli correlati
This product uses the NVD API but is not endorsed or certified by the NVD.
La descrizione tecnica è una nostra traduzione del testo originale NVD, in inglese.