何が起きたか
AWS Serverless MCP Serverのデプロイメントステータスコンポーネントは、パス名を意図したディレクトリに制限していません。プロンプトインジェクションの影響を受けたエージェントまたは信頼されていないリクエストが、プロジェクト名にトラバーサルシーケンスまたは絶対パスを渡すことで、期待されるディレクトリ外のJSONファイルを読み取り（および書き込みが有効な場合は書き込み）できます。CVSS 6.1（3.1）、2026-11-02公開。
なぜ重要か
これはLLMエージェントがサーバーレスデプロイメントを管理するために呼び出すMCPツールです。入力は攻撃者/エージェントによって制御されるため、プロンプトインジェクションを受けたまたは悪意のあるエージェントに、ホスト上の機密JSON（例：デプロイメント/設定/資格情報を含むファイル）を読み取る手段、または書き込みが有効な場合はファイルを上書きする手段を提供します — エージェントからホストへの境界を越えるエージェンティックなパストラバーサルです。
攻撃経路
パス名は意図したデプロイメントステータスディレクトリに制限されていません。MCPエージェントに影響を与えることができるアクターが、プロジェクト名入力にディレクトリトラバーサルシーケンスまたは絶対パスを提供することで、コンポーネントはディレクトリ外のJSONファイルを読み取り（書き込みアクセスが有効な場合は作成または上書き）できます。
影響を受けるシステム
awslabs.aws-serverless-mcp-server v0.2.1より前
緩和策
aws-serverless-mcp-server v0.2.1にアップグレードしてください。アドバイザリ：https://aws.amazon.com/security/security-bulletins/2026-164-aws/ および GHSA-r6mm-377j-qg8m