Xidian University

Incorrect privilege assignment in the IAM policy of AWS CICD-toolchain-for-serverless-applications 1.0.7 through 1.0.10 allows remote authenticated users with push access to the application source repository to escalate privileges and access or modify resources outside the application stack in the same AWS account via application templates deployed by the toolchain pipeline. To remediate this issue, users should upgrade existing toolchain stacks to version 1.0.11 or later.

**Name of the Vulnerable Software and Affected Versions** Amazon amazon-connect-salesforce-lambda versions prior to 5.26 **Description** Missing authorization in the Amazon Connect Salesforce integration allows an IAM principal with `lambda:InvokeFunction` permission to escalate privileges. The `sfExecuteAWSService()` function dispatches caller-supplied parameters to privileged AWS service APIs without validating if the caller is authorized for the requested operation. This allows a lower-privileged identity to act as a confused deputy—a security situation where a privileged entity is tricked by a less privileged entity into performing an action—to execute AWS API operations that their own IAM policy explicitly denies, potentially leading to unauthorized access or modification of AWS resources. **Recommendations** Upgrade to version 5.26 or later. Delete or disable the `sfExecuteAWSService()` function. If the `sfExecuteAWSService()` function must be retained, restrict its invocation to the intended IAM user only.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات موصل ClickHouse الخاص بـ Amazon Athena Federated Query التي تسبق الإصدار v2026.17.1 **الوصف** يؤدي التخصيص غير الصحيح للامتيازات في قالب النشر إلى السماح لمستخدم بعيد تمت مصادقته بقراءة أسرار AWS Secrets Manager عشوائية ضمن الحساب الذي يتم النشر فيه. يمكن للمهاجم تحقيق ذلك عن طريق توجيه سلسلة اتصال الموصل نحو سر غير ذي صلة ونقطة نهاية قاعدة بيانات خاضعة لسيطرته، مما يؤدي إلى قيام الموصل بنقل السر إلى تلك النقطة النهائية. **التوصيات** قم بالترقية إلى الإصدار v2026.17.1 أو أحدث من موصلات aws-athena-query-federation. أعد نشر الموصل باستخدام القالب الحالي وقم بتوفير قيمة غير فارغة لـ `SecretNamePrefix`.