CVE-2026-7191
Açıklama
qnabot-on-aws çözümünün 7.2.4 ve önceki sürümlerinde static-eval npm paketinin hatalı kullanımı; kimliği doğrulanmış bir yöneticinin, Content Designer arayüzü üzerinden özel olarak hazırlanmış bir koşullu zincirleme ifadesi (conditional chaining expression) enjekte ederek, JavaScript prototip manipülasyonu yoluyla hedeflenen ifade kum havuzunu (expression sandbox) atlamasına ve fulfillment Lambda yürütme bağlamında rastgele kod çalıştırmasına izin verebilir. Bu durum, normal yönetim arayüzleri aracılığıyla sunulmayan arka uç kaynaklarına (Lambda ortam değişkenleri, OpenSearch indeksleri, S3 nesneleri, DynamoDB tabloları) doğrudan erişim sağlayabilir. Sürüm 7.3.0 veya üzerine yükseltmeniz önerilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| AWS QnABot on AWS | v ≤ 7.2.4 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.