CVE-2026-18953

8.8 Élevée

Publiée le 05/08/2026 à 22:17 · Modifiée le 23/10/2026 à 23:10 · Analysée par le NVD · Source : ff89ba41-3aa1-4d27-914a-91399e9639e5

Description

Improper limitation of a pathname to a restricted directory in the get_resource tool in Amazon awslabs.aws-transform-mcp-server 0.1.0 through 0.1.4 might allow a context-dependent actor to write arbitrary files outside the intended working directory via the savePath parameter. To remediate this issue, users should upgrade to version 0.1.5 or later.

Traduire en français

Produits concernés

Scores CVSS

Version	Score	Source	Vecteur
4.0	6.3 Moyenne	ff89ba41-3aa1-4d27-914a-91399e9639e5	`CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X`
3.1	8.6 Élevée	ff89ba41-3aa1-4d27-914a-91399e9639e5	`CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H`
3.1	8.8 Élevée	nvd@nist.gov (NVD)	`CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H`

Faiblesses (CWE)

CWE-22

Références

https://aws.amazon.com/security/security-bulletins/2026-075-aws/ Vendor Advisory
https://github.com/awslabs/mcp/security/advisories/GHSA-66mr-jr63-2jgw Vendor Advisory
https://pypi.org/project/awslabs.aws-transform-mcp-server/0.1.5/ Product

CVE-2026-18953

Description

Produits concernés

Scores CVSS

Faiblesses (CWE)

Références

Ailleurs