LocalStack 4.9.2'de CloudFormation dağıtım uç noktasında uzaktan içerik çalıştırma açığı

Orta 5,4 CVSS 3.1

Yayımlandı: 22 Eki 2026
Güncellendi: 26 Eki 2026
Açık yaşı: 6 gün
Kaydı açan: mitre

ÖzetTürkçe

LocalStack 4.9.2 sürümünde, saldırganların web üzerinden erişilebilen bir URL'de barındırılan özel hazırlanmış içeriği çalıştırmasına olanak tanıyan bir sorun tespit edilmiştir. Bu URL, _localstack/cloudformation/deploy uç noktasına templateURL parametresi olarak verildiğinde, barındırılan içerik Docker konteynerinin bağlamında çalıştırılabilmektedir. CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N vektörüne göre CVSS puanı 5.4 (MEDIUM) olarak belirtilmiştir.

Kaynaktaki açıklama (İngilizce)

An issue was discovered in localstack 4.9.2 allowing attackers to execute arbitrary code via crafted content hosted on a web-accessable URL and when passed said URL in the the templateURL to the _localstack/cloudformation/deploy endpoint, the hosted content can get executed in the context of the docker container.

Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.

Kaynaklar6 kaynak

CVE.org kaydı
NVD kaydı
localstack.com Diğer
github.com/…ocalstack/services/cloudformation/deploy_ui.py Diğer
github.com/localstack/localstack/pull/13293 Diğer
cyberroute.github.io/post/2025-12-11-localstack-hack Diğer

Kayıt geçmişi

22 Eki 2026 03:00Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.