一、 漏洞 CVE-2023-36467 基础信息
漏洞标题
通过用户注入Python命令，AWS数据全部存在RCE漏洞。
来源：AIGC 神龙大模型
漏洞描述信息
通过用户注入Python命令，AWS data.all的所有数据都容易受到RCE（远程代码执行）的攻击。
来源：AIGC 神龙大模型
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源：AIGC 神龙大模型
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：AIGC 神龙大模型
漏洞标题
AWS data.all vulnerable to RCE through user injection of Python Commands
来源：美国国家漏洞数据库 NVD
漏洞描述信息
AWS data.all is an open source development framework to help users build a data marketplace on Amazon Web Services. data.all versions 1.2.0 through 1.5.1 do not prevent remote code execution when a user injects Python commands into the ‘Template’ field when configuring a data pipeline. The issue can only be triggered by authenticated users. A fix for this issue is available in data.all version 1.5.2 and later. There is no recommended work around.
来源：美国国家漏洞数据库 NVD
CVSS信息
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
来源：美国国家漏洞数据库 NVD
漏洞类别
对生成代码的控制不恰当(代码注入)
来源：美国国家漏洞数据库 NVD
漏洞标题
AWS data.all 代码注入漏洞
来源：中国国家信息安全漏洞库 CNNVD
漏洞描述信息
AWS data.all是awslabs开源的一个开源开发框架。 AWS data.all 1.2.0至1.5.1版本存在代码注入漏洞，该漏洞源于允许经过身份验证的攻击者在配置数据管道时将 Python命令注入Template字段。
来源：中国国家信息安全漏洞库 CNNVD
CVSS信息
N/A
来源：中国国家信息安全漏洞库 CNNVD
漏洞类别
代码注入
来源：中国国家信息安全漏洞库 CNNVD
二、漏洞 CVE-2023-36467 的公开POC
# POC 描述 源链接 神龙链接
三、漏洞 CVE-2023-36467 的情报信息