CVE-2026-18481: XSS memorizzato nel campo URL del partecipante porta all’acquisizione dell’account tramite il furto del token di sessione.
ID bollettino: 2026-068-AWS
Ambito: AWS
Tipo di contenuto: importante (richiede attenzione)
Data di pubblicazione: 31/07/2026 11:00 PDT
Descrizione:
AWS Ops Wheel è uno strumento decisionale operativo open source pubblicato sotto l’organizzazione AWS GitHub e distribuito autonomamente dai clienti nei propri account AWS tramite CloudFormation. L’applicazione non ha convalidato a sufficienza il campo URL del partecipante: la convalida lato server ha verificato solo la lunghezza del valore, senza controllare se si trattasse di un URL web sicuro (CWE-79). Pertanto, un utente in possesso dell’autorizzazione a gestire i partecipanti (un Wheel Admin/Admin) poteva memorizzare un URL predisposto in grado di eseguire script nella sessione del browser autenticata di un altro utente (cross-site scripting memorizzato).
L’impatto è limitato a una singola istanza distribuita autonomamente (ogni distribuzione ha il proprio pool di utenti Cognito); non vi è alcun impatto sulle distribuzioni trasversali né sui servizi gestiti da AWS.
Versioni interessate: distribuzioni AWS Ops Wheel v2 PR #168 e precedenti
Risoluzione:
questo problema è stato risolto nella distribuzione PR #168 con un approccio di difesa in profondità. La convalida lato server ora limita gli URL dei partecipanti agli schemi http/https in fase di creazione e aggiornamento; il client rafforza la modalità di rendering degli URL memorizzati e i token di sessione non vengono più archiviati in una posizione accessibile agli script di pagina. Poiché AWS Ops Wheel viene distribuito dall’origine, consigliamo di aggiornare il checkout a una versione rivista che includa questa correzione, ridistribuendo sia l’API che l’interfaccia utente e accertandosi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.
Soluzioni alternative:
fino a quando non sarà possibile ridistribuire il codice con la patch, consigliamo di limitare le autorizzazioni di Wheel Admin/Admin solo agli utenti fidati; controllare i partecipanti memorizzati e rimuovere tutti gli URL dei partecipanti che non siano http/https standard; evitare di interagire con le voci dei partecipanti provenienti da utenti non voluti; e applicare una rigida Content-Security-Policy al proxy CloudFront/Reverse (si tratta di una soluzione parziale che non sostituisce l’applicazione della patch).
Riferimenti:
Inviare un’e-mail all’indirizzo aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.