AWS выявила критическую уязвимость, CVE-2026-81838, в своем инструменте командной строки diagram-as-code awsdac. Этот инструмент генерирует диаграммы архитектуры AWS из YAML-определений. Уязвимость представляет собой ошибку Zip Slip или обход пути, затрагивающую извлечение zip-архивов. Злонамеренно созданный zip-файл может привести к тому, что awsdac запишет файлы в произвольные места в системе. Это потенциально может привести к произвольному выполнению кода на машине, на которой работает awsdac. Уязвимость может быть использована при обработке файлов определений из недоверенных источников. Это включает запуск awsdac без надлежащих ограничений доверия или загрузку локальных файлов, которые обходят списки разрешенных URL-адресов. CI/CD конвейеры, обрабатывающие недоверенные файлы определений, особенно подвержены риску. Проблема ограничена локальной машиной, на которой работает awsdac. Она не затрагивает какие-либо сервисы AWS, учетные записи или данные клиентов. Уязвимостью затронуты версии awsdac с 0.10 по 0.23.