事件经过
AWS AI-DLC Workflows中的aidlc-traceability CLI的HTML报告生成器存在存储型跨站脚本（发布于2026年11月2日，CVSS 3.1 5.0 / CVSS 4.0 4.6）。这是一种本地、需要用户交互的存储型XSS，要求能够修改项目工件并由用户查看生成的报告。
影响分析
尽管严重性较低，但这是AWS自身AI深度学习容器工作流工具中已记录的一个缺陷：任何能够影响项目AI-DLC工件文件的人都可以将脚本注入可追溯性报告，该报告通常与会审人员和审计员共享——在AI/ML供应链工作流上下文中，这是钓鱼或接触凭证脚本的合理路径。
攻击途径
项目AI-DLC工件文件中精心制作的工件标题或描述未经清理即嵌入生成的HTML可追溯性报告；打开该报告的用户将在报告页面的上下文中执行存储的脚本。
受影响系统
AWS aidlc-traceability CLI（awslabs/aidlc-workflows）在提交96cf0ea之前；通过提交96cf0ea修复，或更新/删除本地副本
缓解措施
删除2026年7月3日之前获取的aidlc-traceability本地副本，或更新至提交96cf0ea或更高版本；注意该CLI已于2026年7月16日从仓库中移除。