@hulumi/policies: HULUMI-H1 SecureBucket parent spoof bypass

CAO 7.5CVE-2026-82861 · GHSA-g43v-9x7q-83pq · Công bố 31/08/2026 · cập nhật 08/10/2026

Tóm tắt nhanh

CVE-2026-82861 là lỗ hổng mức CAO (CVSS 7.5) ảnh hưởng @hulumi/policies.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.43%, cao hơn 37.7% các lỗ hổng khác.
Cách xử lý: cập nhật lên 1.3.2 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
@hulumi/policies npm	`< 1.3.2`	`1.3.2`

Mô tả

Impact: @hulumi/policies versions before 1.3.2 could accept spoofed SecureBucket parent evidence for HULUMI-H1, allowing policy evaluation to miss an unsafe bucket shape.

Patched in 1.3.2: the validator now correlates evidence to the expected component/resource relationship and includes regression coverage.

Remediation: upgrade @hulumi/policies to 1.3.2 or later.

Mô tả của NVD

@hulumi/policies versions before 1.3.2 contain a parent spoof bypass vulnerability that allows attackers to submit spoofed SecureBucket parent evidence during policy evaluation. Attackers can bypass security policy checks by providing falsified evidence, causing the validator to miss unsafe bucket configurations.

Tham khảo

Lỗ hổng khác của @hulumi/policies

Xem tất cả →

Bạn đang dùng một trong các sản phẩm này? Quét site để biết có đang lộ phiên bản có lỗ hổng không.

Quét site miễn phí

Gói / sản phẩm

Phiên bản bị ảnh hưởng

Phiên bản đã vá

@hulumi/policies

npm

< 1.3.2

1.3.2