事件经过
AWS 于2026年10月8日披露 CVE-2026-107322（CVSS 7.8）：databases-on-aws 插件的不完整禁用输入列表允许远程未认证攻击者通过在代理上下文中引入的精心构造的数据库命令值注入操作系统命令。仅当代理随后调用本地辅助程序时执行，此时命令以辅助进程的权限运行。由 Shay Sakazi 通过协调披露报告；已在 1.7.1 中修复。
影响分析
这是 AWS 官方 AI 代理插件套件中的代理工具参数命令注入：能够植入代理摄入内容的攻击者（来自不受信任文档、网页或电子邮件中的注入提示/工具输入）可以升级为代理辅助数据库工作流中的主机命令执行——将提示注入原语转化为操作员机器上以代理云凭据运行的本机代码执行。
攻击途径
远程未认证攻击者提供代理摄入的精心构造的内容（放置在代理上下文中的精心构造的数据库命令值）。如果代理随后使用该值调用本地辅助程序，不完整的禁用输入列表允许在主机上执行操作系统命令，以运行辅助程序的进程权限及其持有的任何 AWS 凭据运行。
受影响系统
databases-on-aws 插件版本 1.0.0 至 1.7.0（已在 1.7.1 中修复，自2026年8月26日起可从 marketplace/main 获取；固定仓库必须使用提交 8b13a503746a4ebb0402b936645163224058bde3 或更高版本）
缓解措施
将 databases-on-aws 升级到 1.7.1+。如果无法升级，避免可选的 psql 连接辅助程序命令路径，改用人工审查的 SQL 或 DSQL MCP 服务器，以非特权操作系统用户运行代理/辅助程序，使用范围限定（理想情况下为只读）的 dsql IAM 角色，并轮换可能暴露给潜在被攻陷辅助程序主机的任何凭据。AWS 公告 2026-130-AWS。