CVE-2026-115413

WysokieCVSS 7.8

Opublikowano: 27/10/2026(UTC)Zaktualizowano: 28/10/2026(UTC)Przetłumaczono: 27/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Brak walidacji odbiorcy tokena w trybie uwierzytelniania OAuth w AWS API MCP Server przed wersją 1.6.0 może pozwolić lokalnym użytkownikom na wykonywanie operacji AWS przy użyciu skonfigurowanych poświadczeń serwera za pomocą tokena dostępu wydanego innej aplikacji przez tego samego dostawcę tożsamości.

Ocena ryzyka

Może umożliwić nieuprawnione operacje w AWS z użyciem poświadczeń serwera, prowadząc do naruszenia bezpieczeństwa konta chmurowego.

Rekomendacja

Zaktualizuj AWS API MCP Server do wersji 1.6.0 i skonfiguruj oczekiwanego odbiorcę tokena lub identyfikator klienta.

Inne podatności w AWS API MCP Server

CVE-2026-16584Wysokie
Nieprawidłowe obsłużenie błędu inicjalizacji w AWS API MCP Server (wersje 0.2.13 do 1.3.46) może pozwolić atakującemu na ominięcie skonfigurowanej polityki bezpieczeństwa i wykonanie operacji AWS API, które polityka miała blokować. Gdy inicjalizacja danych egzekwowania polityki nie powiedzie się przy starcie serwera, sprawdzanie polityki jest pomijane przez cały czas działania procesu. Uprawnienia IAM na skonfigurowanych poświadczeniach pozostają w mocy.

Oryginalny opis (angielski, źródło NVD)

Missing token audience validation in the OAuth authentication mode of AWS API MCP Server before version 1.6.0 might allow local users to run AWS operations with the server's configured AWS credentials via an access token issued to another application by the same identity provider. To remediate this issue, users should upgrade to version 1.6.0 and configure the expected token audience or client ID for the server.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS