Command Injection via Unsanitized Bundling Options in `aws-cdk-lib/aws-lambda-nodejs`
该报告还没有中文解读。
原文摘录
摘自原文（11678 字符中的一小部分）
**Asset**: `aws-cdk-lib` (npm package), source: https://github.com/aws/aws-cdk **Severity**: High **CWE**: CWE-78 (Improper Neutralization of Special Elements used in an OS Command, 'OS Command Injection')
原文中的代码
// bundling.ts, lines 245-266
const esbuildCommand: string[] = [
options.esbuildRunner,
'--bundle', `"${relativeEntryPath}"`,
`--target=${this.props.target ?? toTarget(scope, this.props.runtime)}`,
'--platform=node',
// ...
...this.externals.map(external => `--external:${external}`), …默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 AWS VDP 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @inkerton · 版权归作者与 AWS VDP 所有