PT-2026-60522 · Aws+1 · Bedrock-Agentcore+1

CVE-2026-15737 · Publicado 2026-07-16 · Atualizado 2026-07-16

Positive Technologies (AI Summary) · Pt

CVSS v4.0

5.7

Média

Vetor base

AV:N/AC:L/AT:P/PR:L/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas AWS Bedrock AgentCore Python SDK versões 1.4.8 a 1.5.0

Description A instrumentação OpenTelemetry no SDK causa o registro não intencional de conteúdo sensível do usuário. A biblioteca grava prompts de usuário brutos e respostas completas do agente em atributos de span do OpenTelemetry em cada invocação, sem filtragem ou mascaramento. Esses spans são enviados para o grupo de logs aws/spans do CloudWatch, permitindo potencialmente que um usuário autenticado local com acesso de leitura aos logs visualize dados sensíveis.

Recommendations Atualize para a versão 1.5.1 ou posterior. Revise e elimine conteúdos sensíveis dos grupos de logs aws/spans do CloudWatch.

Exploit

Correção

Insertion into Log File

Enumeração de Fraquezas

CWE-532

Identificadores relacionados

CVE-2026-15737

Produtos afetados

Bedrock-Agentcore

Bedrock Agentcore Python Sdk

Referências · 6

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/15xxx/CVE-2026-15737.json · Exploit
• https://github.com/aws/bedrock-agentcore-sdk-python/security/advisories/GHSA-hqf8-7w95-9r33 · Nota
• https://pypi.org/project/bedrock-agentcore/1.5.1 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2026-15737 · Nota de Segurança
• https://aws.amazon.com/security/security-bulletins/2026-058-aws · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2026-15737 · Aviso do Fabricante