JVNDB-2026-027770

Amazon.com, Inc.のAWS Transform MCP Serverにおけるパストラバーサルの脆弱性

Amazon awslabs.aws-transform-mcp-server のバージョン 0.1.0 から 0.1.4 において、get_resource ツールでファイルパスを制限ディレクトリ内に適切に制限していない不備がありました。そのため、コンテキスト依存の攻撃者が savePath パラメータを介して、意図された作業ディレクトリの外に任意のファイルを書き込む可能性があります。この問題を修正するためには、ユーザーはバージョン 0.1.5 以降にアップグレードする必要があります。

Amazon.com, Inc.

• AWS Transform MCP Server 0.1.0 以上 0.1.5 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Amazon.com, Inc.

• Amazon Linux Security Center : CVE-2026-18953 - Improper limitation of a pathname in AWS Transform MCP Server

GitHub

• GitHub : Improper limitation of a pathname in AWS Transform MCP Server  Advisory  awslabs/mcp  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-18953

1. National Vulnerability Database (NVD) : CVE-2026-18953
2. 関連文書 : awslabs.aws-transform-mcp-server  PyPI

• [2026年08月12日]
    掲載