CVE-2026-5059
Vulnerabilidad de Ejecución Remota de Código por Inyección de Comandos en la CLI de AWS en aws-mcp-server
- Publicado
- 11 abr 2026
- Actualizado
- 13 abr 2026
- Asignación de CNA
- zdi
- Evidencia observada
- 25 ago 2026
CVSS primario
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 78,6 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
aws-mcp-server Vulnerabilidad de Ejecución Remota de Código por Inyección de Comandos en AWS CLI. Esta vulnerabilidad permite a atacantes remotos ejecutar código arbitrario en instalaciones afectadas de aws-mcp-server. No se requiere autenticación para explotar esta vulnerabilidad. La falla específica existe en el manejo de la lista de comandos permitidos. El problema resulta de la falta de validación adecuada de una cadena proporcionada por el usuario antes de usarla para ejecutar una llamada al sistema. Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del servidor MCP. Fue ZDI-CAN-27969.
Fuentes
2Prueba de concepto para CVE-2026-5059, una inyección de comandos en aws-mcp-server mediante shell=True y validación incompleta, con análisis del código vulnerable y parcheado.
Prueba de concepto que demuestra la inyección de comandos en aws-mcp-server mediante shell=True, con análisis del código vulnerable y la corrección en la v1.7.0.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.