Apa yang terjadi
Cross-site scripting tersimpan di generator laporan HTML CLI aidlc-traceability di AWS AI-DLC Workflows (diterbitkan 2026-11-02, CVSS 3.1 5.0 / CVSS 4.0 4.6). Ini adalah XSS tersimpan lokal yang memerlukan interaksi pengguna dan memerlukan kemampuan untuk memodifikasi artefak proyek serta pengguna untuk melihat laporan yang dihasilkan.
Mengapa penting
Meskipun tingkat keparahannya rendah, ini adalah cacat yang dikatalogkan di alat alur kerja kontainer pembelajaran mendalam AI AWS sendiri: siapa pun yang dapat memengaruhi file artefak AI-DLC proyek dapat menyuntikkan skrip ke laporan ketertelusuran, yang biasanya dibagikan ke peninjau dan auditor — jalur yang masuk akal untuk phishing atau skrip yang menyentuh kredensial dalam konteks alur kerja rantai pasokan AI/ML.
Vektor serangan
Judul atau deskripsi artefak yang dibuat dalam file artefak AI-DLC proyek disematkan tanpa sanitasi ke laporan ketertelusuran HTML yang dihasilkan; pengguna yang membuka laporan tersebut di browser mengeksekusi skrip yang tersimpan dalam konteks halaman pelaporan.
Sistem yang terdampak
CLI AWS aidlc-traceability (awslabs/aidlc-workflows) sebelum commit 96cf0ea; diperbaiki oleh commit 96cf0ea atau dengan memperbarui/menghapus salinan lokal
Mitigasi
Hapus salinan lokal aidlc-traceability yang diperoleh sebelum 2026-07-03, atau perbarui ke commit 96cf0ea atau yang lebih baru; perhatikan bahwa CLI dihapus dari repositori pada 2026-07-16.