CVE-2026-100620

NiskieCVSS 3.8

Opublikowano: 26/09/2026(UTC)Zaktualizowano: 05/10/2026(UTC)Przetłumaczono: 26/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Capgo CLI (pakiet npm @capgo/cli) do wersji 7.98.2 jest dotknięty problemem nadmiernych uprawnień konta usługi w przepływie onboardingu Android. Podczas onboardingu przez Google OAuth CLI zaprasza wygenerowane konto usługi Google Play z uprawnieniem na poziomie całego konta CAN_MANAGE_DRAFT_APPS_GLOBAL (przekazywanym jako developerAccountPermissions w żądaniu utworzenia użytkownika Android Publisher API), mimo że interfejs użytkownika informuje o zaproszeniu do pojedynczej aplikacji z uprawnieniami tylko do wydania. W rezultacie każdy, kto uzyska klucz wygenerowanego konta usługi (PLAY_CONFIG_JSON), może tworzyć, edytować i usuwać aplikacje robocze w całym koncie deweloperskim Google Play, a nie tylko w wybranej paczce.

Ocena ryzyka

Posiadacz klucza konta usługi może zarządzać wszystkimi aplikacjami roboczymi w całym koncie deweloperskim Google Play, co stanowi poważne ryzyko naruszenia integralności i nieautoryzowanych zmian. Może to prowadzić do publikacji lub usunięcia aplikacji bez zgody właściciela konta.

Rekomendacja

Brak dostępnej załatanej wersji w momencie publikacji. Należy ograniczyć dostęp do klucza PLAY_CONFIG_JSON, ręcznie zweryfikować i zawęzić uprawnienia konta usługi w Google Play Console oraz monitorować aktywność konta.

Inne podatności w Capgo CLI

CVE-2026-56236Średnie
Capgo CLI w wersjach przed 12.128.2 zawiera podatności na nadpisywanie plików, które nie są weryfikowane podczas operacji logowania i budowania poświadczeń. Atakujący mogą tworzyć złośliwe symlinki w repozytoriach, co pozwala na nadpisywanie dowolnych plików lub ujawnianie poświadczeń z uprawnieniami do odczytu dla wszystkich.

Oryginalny opis (angielski, źródło NVD)

Capgo CLI (npm package @capgo/cli) through 7.98.2 is affected by an over-permissioned service account in its Android onboarding flow. When onboarding via Google OAuth, the CLI invites the generated Google Play service account with the account-wide Play Console permission CAN_MANAGE_DRAFT_APPS_GLOBAL (passed as developerAccountPermissions in the Android Publisher API User create request), even though the user-facing flow states the service account is invited into a single confirmed app with release-only permissions. As a result, anyone who obtains the generated service account key (PLAY_CONFIG_JSON) can create, edit, and delete draft apps across the entire Google Play developer account rather than being limited to the selected package. No patched version was available at the time of publication.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS