Amazon Q Developer flaw let malicious repos steal AWS credentials via rogue MCP servers

A high-severity vulnerability (CVE-2026-12957) in Amazon Q Developer allowed malicious repositories to silently auto-load rogue MCP servers upon cloning, inheriting the developer's full AWS credentials and environment variables with no user interaction required. Wiz Research discovered and reported the flaw; Amazon patched it on May 12 by requiring explicit user approval before MCP servers start and restricting their environment variable access. A second flaw (CVE-2026-12958) also allowed arbitrary file writes via symlink traversal. Both issues are patched in updated IDE plugins for VS Code, JetBrains, Eclipse, and Visual Studio. The incident adds Amazon Q to a growing list of AI coding tools — including Claude Code, Cursor, and Windsurf — vulnerable to supply chain attacks exploiting trust in repository contents.

Nguồn: https://thenextweb.com/news/amazon-q-developer-mcp-flaw-aws-credentials-stolen. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Tailscale114 phút4 giờ trướcAI

A no-nonsense explainer to Agentic AI

Bài viết giải thích đơn giản về AI Agent, phân tầng kiến trúc gồm LLM (bộ não), tools (giao diện thế giới), sandboxes (bảo mật), và harness/runtime (điều phối). Ba công cụ agentic (OpenClaw, Pi.dev, Hermes) được so sánh, kèm ví dụ thực tế tích hợp Hermes, Telegram và Home Assistant cho điều khiển nhà thông minh bằng ngôn ngữ tự nhiên.

Lập trình viên cần đọc bài này để hiểu cách xây dựng và tích hợp các hệ thống AI tự động hóa thực tế từ các thành phần cơ bản đến các giải pháp mở rộng như agent, từ đó tối ưu hóa hiệu suất và khả năng mở rộng cho các ứng dụng AI trong công việc.

#llm