PT-2026-35526 · Unknown+1 · Qnabot On Aws+1

Endor Labs · Publicado 2026-04-27 · Atualizado 2026-04-30 · CVE-2026-7191

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas qnabot-on-aws versões anteriores a 7.3.0

Descrição O uso inadequado do pacote npm static-eval permite que um administrador autenticado execute código arbitrário dentro do contexto de execução do Lambda de atendimento. Isso é feito injetando uma expressão de encadeamento condicional manipulada através da interface do Content Designer, que ignora o sandbox de expressões por meio da manipulação de protótipo do JavaScript. A exploração bem-sucedida pode conceder acesso direto a recursos de backend, incluindo variáveis de ambiente do Lambda, índices do OpenSearch, objetos do S3 e tabelas do DynamoDB, que normalmente não são expostos por meio de interfaces administrativas.

Recomendações Atualize para a versão 7.3.0 ou superior.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-7191

Produtos afetados

Qnabot On Aws

Static-Eval

Referências · 7

• https://github.com/aws-solutions/qnabot-on-aws/releases/tag/v7.3.0 · Correção
• https://twitter.com/KaitanSecurity/status/2048877352013209630 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2048891320240898450 · Publicação no Twitter
• https://aws.amazon.com/security/security-bulletins/2026-020-aws · Aviso do Fabricante
• https://t.me/CVEtracker/51984 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-7191 · Nota de Segurança
• https://twitter.com/eyalestrin/status/2049818107724914865 · Publicação no Twitter