CVE-2026-56073

Cap-go w wersjach przed 12.128.2 zawiera błąd w logice uwierzytelniania, który pozwala atakującemu zarejestrować i kontrolować konto powiązane z adresem e-mail ofiary przed jego weryfikacją. Włączenie uwierzytelniania dwuskładnikowego na wstępnie zarejestrowanym koncie umożliwia atakującemu przejęcie kontroli nad kontem ofiary.

Podatność w Cap-go przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC public.transfer_app, która zwraca różne komunikaty błędów dla istniejących i nieistniejących identyfikatorów aplikacji. Nieuwierzytelnieni atakujący mogą wyliczyć prawidłowe ID aplikacji, obserwując różnice w komunikatach błędów przy użyciu jedynie publikowalnego klucza API.

Cap-go przed wersją 12.128.2 zawiera lukę w autoryzacji w punkcie końcowym GET /organization/members, która pozwala kluczom API ograniczonym do organizacji na obejście ograniczeń limited_to_orgs. Napastnicy z takimi kluczami mogą uzyskać dostęp do danych członkostwa z organizacji spoza przypisanego zakresu.

Cap-go przed wersją 12.128.2 zawiera podatność na inwersję uprawnień w GET /build/logs/:jobId, która pozwala posiadaczom kluczy API tylko do odczytu na anulowanie działających natywnych budów. Punkt końcowy rejestruje nasłuchiwacz przerwania na strumieniu SSE, który bezwarunkowo wywołuje cancelBuildOnDisconnect() przy użyciu uprzywilejowanego klucza BUILDER_API_KEY.

Cap-go przed wersją 12.128.2 zawiera wiele podatności na wstrzykiwanie SQL w pliku cloudflare.ts, gdzie wartości kontrolowane przez użytkownika z ciał żądań API są interpolowane bezpośrednio do ciągów zapytań SQL bez sanitizacji lub parametryzacji. Użytkownicy z uprawnieniami do odczytu klucza API mogą wstrzykiwać dowolny SQL przez parametry deviceIds, search, version_name, cursor i actions.

Cap-go przed wersją 12.128.2 zawiera podatność na ujawnienie informacji w punkcie końcowym OPTIONS /build/upload/:jobId/*. Umożliwia to nieautoryzowanym atakującym enumerację ważnych identyfikatorów zadań budowy poprzez różnice w odpowiedziach.

Cap-go przed wersją 12.128.12 zawiera podatność na uszkodzoną paginację kursorów w punkcie końcowym /private/devices, co pozwala uwierzytelnionym atakującym na wywołanie pętli zduplikowanych stron i uniemożliwienie dostępu do późniejszych wierszy.

Cap-go w wersjach przed 12.128.2 zawiera podatność na przejęcie konta w mechanizmie zmiany adresu e-mail, która pozwala atakującemu z tymczasową sesją uwierzytelnioną na zmianę zarejestrowanego adresu e-mail bez ponownej autoryzacji. Atakujący mogą przekierować weryfikację na kontrolowany przez siebie adres e-mail i następnie zresetować hasło, aby na stałe przejąć konto ofiary.