CVE-2026-13760
Beschrijving NL
Het injecteren van besturingssysteemopdrachten in de NodejsFunction Docker-bundelingspipeline (OsCommand-helper) in AWS aws-cdk-lib op alle platforms kan een actor die de versieaanduidingen van afhankelijkheden in het package.json-bestand van een project beheert, in staat stellen willekeurige opdrachten uit te voeren op de host waarop de CDK-toolchain draait, via geïnjecteerde shell-metatekens in de OsCommand-helper. Dit probleem vereist dat de actor de inhoud van een package.json afhankelijkheidsversie-tekenreeks beheert die wordt verwerkt tijdens Docker-gebaseerde bundeling met opgegeven nodeModules. Om dit probleem op te lossen, moeten gebruikers upgraden naar v2.260.0.
Origineel (Engels) tonen
OS command injection in the NodejsFunction Docker bundling pipeline (OsCommand helper) in AWS aws-cdk-lib on all platforms might allow a actor who controls dependency version strings in a project's package.json file to execute arbitrary commands on the host running the CDK toolchain via injected shell metacharacters in the OsCommand helper. This issue requires the actor to control the content of a package.json dependency version string that is processed during Docker-based bundling with nodeModules specified.
To remediate this issue, users should upgrade to v2.260.0.