CVE-2026-22015 – 通过事件注入无服务器函数环境变量

程序代码（Python Lambda 模拟）

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – 通过事件注入无服务器函数环境变量

概述

无服务器函数信任传入的事件来设置环境变量，本意是用于调试。攻击者可以注入任意的环境变量，覆盖机密并改变函数的行为。

漏洞详情

• 类型： 注入 / 权限提升
• 影响： 凭据窃取、逻辑破坏。
• 根本原因： 函数未验证事件的来源；用户可控的数据被合并到 os.environ 中。

漏洞利用演示

在本地运行该函数，并使用恶意事件进行调用：

python lambda_env_inject.py

密钥被覆盖为 "attacker_controlled"。