事件经过
AWS Serverless MCP Server的部署状态组件未将路径名限制在其预期目录内。受提示注入影响的代理或不受信任的请求可以在项目名称中传递遍历序列或绝对路径，从而读取（并可选择写入）预期目录之外的JSON文件。CVSS 6.1（3.1），发布于2026-11-02。
影响分析
这是LLM代理调用的用于管理无服务器部署的MCP工具。由于输入是攻击者/代理控制的，这为提示注入或恶意代理提供了一种读取主机上敏感JSON（如包含部署/配置/凭据的文件）的方法，或者在启用写入时覆盖文件——一种跨界代理到主机边界的代理型路径遍历。
攻击途径
路径名未限制在预期的部署状态目录内。能够影响MCP代理的参与者可以在项目名称输入中提供目录遍历序列或绝对路径，允许组件读取目录之外的JSON文件（并在启用写访问时创建或覆盖它们）。
受影响系统
awslabs.aws-serverless-mcp-server 早于v0.2.1
缓解措施
升级到aws-serverless-mcp-server v0.2.1。公告：https://aws.amazon.com/security/security-bulletins/2026-164-aws/ 和 GHSA-r6mm-377j-qg8m