何が起きたか
AWS AI-DLC Workflowsのaidlc-traceability CLIのHTMLレポートジェネレーターにおける保存型クロスサイトスクリプティング（2026-11-02公開、CVSS 3.1 5.0 / CVSS 4.0 4.6）。これはローカルでユーザー操作が必要な保存型XSSであり、プロジェクトのアーティファクトを変更できる能力と、ユーザーが結果のレポートを表示することが必要です。
なぜ重要か
低深刻度ではありますが、これはAWS自身のAIディープラーニングコンテナワークフローツールにおけるカタログ化された欠陥です：プロジェクトのAI-DLCアーティファクトファイルに影響を与えられる人は誰でも、トレーサビリティレポート（通常、レビュアーや監査人と共有される）にスクリプトを注入でき、AI/MLサプライチェーンワークフローコンテキストでのフィッシングや資格情報に触れるスクリプトへの plausible な経路となります。
攻撃経路
プロジェクトのAI-DLCアーティファクトファイル内の細工されたアーティファクトタイトルまたは説明が、サニタイズなしで生成されたHTMLトレーサビリティレポートに埋め込まれます。そのレポートをブラウザで開くユーザーは、レポートページのコンテキストで保存されたスクリプトを実行します。
影響を受けるシステム
AWS aidlc-traceability CLI（awslabs/aidlc-workflows）でコミット96cf0ea以前; コミット96cf0eaまたはローカルコピーの更新/削除で修正
緩和策
2026-07-03より前に取得したaidlc-traceabilityのローカルコピーを削除するか、コミット96cf0ea以降に更新してください。CLIは2026-07-16にリポジトリから削除されたことに注意してください。