CVE-2026-119085

Amazon Virtual Engineering Workbench (VEW) est affecté via son composant de publication, qui utilise un moteur de modèles pour traiter les données. La faille provient du fait que le logiciel ne neutralise pas correctement certains éléments spéciaux au sein des corps de modèles. Un attaquant peut déclencher cela en soumettant, via l'API de versionnage du produit, un modèle CloudFormation falsifié contenant des directives malveillantes.

Une exploitation réussie permet à un attaquant distant d'exécuter du code arbitraire avec les permissions du rôle IAM de la fonction Lambda de publication. Cela compromet la confidentialité, l'intégrité et la disponibilité des données et des ressources de tous les projets clients. L'attaque est relativement facile à réaliser via un réseau et nécessite une authentification de bas niveau, mais aucune autre interaction de l'utilisateur n'est requise.