Вредоносный коммит внедрил в Amazon Q Developer промпт на удаление файлов

В расширение Amazon Q Developer для VS Code версии 1.84.0 попал вредоносный код: через GitHub-токен с избыточными правами злоумышленник добавил вызов Q CLI с промптом удалить домашний каталог и ресурсы AWS. Код вышел в релиз 17 июля 2025 года, но не сработал из-за синтаксической ошибки; уязвимость отслеживается как CVE-2025-8217.

• Расширение Amazon Q Developer для VS Code имеет почти 1 млн установок
• Вредоносный коммит сделан 13 июля 2025 года, релиз 1.84.0 вышел 17 июля
• Промпт требовал удалить домашний каталог и ресурсы AWS через ec2, s3 и iam
• AWS заявила, что код не выполнился из-за синтаксической ошибки, уязвимости присвоена средняя оценка