AWS Serverless MCP Server 修复部署状态目录越界漏洞
AI 导读
AWS 修复了 AWS Serverless MCP Server 的 CVE-2026-116635，v0.2.1 之前的版本受影响，已在 v0.2.1 修复。该漏洞源于部署状态组件对受限目录的路径名限制不当，能影响 MCP 智能体的行为者可能借此读取目标部署状态目录之外的 JSON 文件；在启用写权限时，还可创建或覆盖该目录外的 JSON 文件。公告称该问题可通过目录遍历序列或项目名输入中提供的绝对路径触达。AWS 表示暂无临时缓解措施，建议升级到最新版本，并确保分叉或衍生代码也打上补丁，同时感谢 Syed Anas Mohiuddin 通过协调漏洞披露流程参与处理。
推荐理由
公告给出了受影响版本、触发路径与修复版本，部署这个 MCP 服务器的团队可据此核对升级。