آسیب‌پذیری CVE-2026-112407 در ابزار CICD-toolchain-for-serverless-applications شرکت AWS شناسایی شده است. این نقص امنیتی مربوط به تخصیص نادرست امتیازات (Incorrect privilege assignment) در سیاست‌های IAM (Identity and Access Management) است که در نسخه‌های پیش از 1.0.11 وجود دارد.
این آسیب‌پذیری به کاربران احراز هویت شده‌ای که دسترسی Push به مخزن کد منبع (Source Repository) اپلیکیشن دارند، اجازه می‌دهد تا سطح دسترسی خود را افزایش داده (Privilege Escalation) و از طریق قالب‌های اپلیکیشن که توسط خط لوله (Pipeline) ابزار مستقر می‌شوند، به منابع خارج از محدوده استک (Stack) اپلیکیشن در همان حساب AWS دسترسی پیدا کرده یا آن‌ها را تغییر دهند.
راهکار مقابله و رفع مشکل
برای مقابله با این تهدید، اقدامات زیر توصیه می‌شود:
- تمام استک‌های موجود از این ابزار را به نسخه 1.0.11 یا بالاتر ارتقا دهید.
- اطمینان حاصل کنید که هرگونه کد مشتق شده (Forked) یا توسعه یافته بر پایه این ابزار، با اصلاحات جدید به‌روزرسانی شده است.
