CVE-2026-56081
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Cap-go w wersjach przed 12.128.2 zawiera błąd w logice uwierzytelniania, który pozwala atakującemu zarejestrować i kontrolować konto powiązane z adresem e-mail ofiary przed jego weryfikacją. Włączenie uwierzytelniania dwuskładnikowego na wstępnie zarejestrowanym koncie umożliwia atakującemu przejęcie kontroli nad kontem ofiary.
Ocena ryzyka
Atakujący może uzyskać dostęp do konta ofiary, co prowadzi do możliwości odczytu i modyfikacji jego stanu oraz egzekwowania polityk na poziomie organizacji, podczas gdy prawowity użytkownik zostaje pozbawiony dostępu do swojego konta.
Rekomendacja
Zaleca się aktualizację Cap-go do wersji 12.128.2 lub nowszej, aby usunąć tę podatność. Dodatkowo, należy monitorować konta użytkowników pod kątem nieautoryzowanych zmian.
Inne podatności w Cap-go
Zobacz wszystkie- CVE-2026-56073Krytyczne
Cap-go przed wersją 12.128.2 zawiera podatność na obejście uwierzytelniania w weryfikacji OTP, co pozwala atakującym na ominięcie weryfikacji e-mailowej poprzez modyfikację odpowiedzi serwera. Atakujący mogą przechwytywać żądania weryfikacji OTP i manipulować odpowiedziami HTTP, co umożliwia fałszywe oznaczenie weryfikacji jako udanej.
- CVE-2026-56296Średnie
Podatność w Cap-go przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC public.transfer_app, która zwraca różne komunikaty błędów dla istniejących i nieistniejących identyfikatorów aplikacji. Nieuwierzytelnieni atakujący mogą wyliczyć prawidłowe ID aplikacji, obserwując różnice w komunikatach błędów przy użyciu jedynie publikowalnego klucza API.
- CVE-2026-56310Średnie
Cap-go przed wersją 12.128.2 zawiera lukę w autoryzacji w punkcie końcowym GET /organization/members, która pozwala kluczom API ograniczonym do organizacji na obejście ograniczeń limited_to_orgs. Napastnicy z takimi kluczami mogą uzyskać dostęp do danych członkostwa z organizacji spoza przypisanego zakresu.
- CVE-2026-56280Wysokie
Cap-go przed wersją 12.128.2 zawiera podatność na inwersję uprawnień w GET /build/logs/:jobId, która pozwala posiadaczom kluczy API tylko do odczytu na anulowanie działających natywnych budów. Punkt końcowy rejestruje nasłuchiwacz przerwania na strumieniu SSE, który bezwarunkowo wywołuje cancelBuildOnDisconnect() przy użyciu uprzywilejowanego klucza BUILDER_API_KEY.
- CVE-2026-56221Średnie
Cap-go przed wersją 12.128.2 zawiera wiele podatności na wstrzykiwanie SQL w pliku cloudflare.ts, gdzie wartości kontrolowane przez użytkownika z ciał żądań API są interpolowane bezpośrednio do ciągów zapytań SQL bez sanitizacji lub parametryzacji. Użytkownicy z uprawnieniami do odczytu klucza API mogą wstrzykiwać dowolny SQL przez parametry deviceIds, search, version_name, cursor i actions.
- CVE-2026-56316Średnie
Cap-go przed wersją 12.128.2 zawiera podatność na ujawnienie informacji w punkcie końcowym OPTIONS /build/upload/:jobId/*. Umożliwia to nieautoryzowanym atakującym enumerację ważnych identyfikatorów zadań budowy poprzez różnice w odpowiedziach.
- CVE-2026-56307Średnie
Cap-go przed wersją 12.128.12 zawiera podatność na uszkodzoną paginację kursorów w punkcie końcowym /private/devices, co pozwala uwierzytelnionym atakującym na wywołanie pętli zduplikowanych stron i uniemożliwienie dostępu do późniejszych wierszy.
- CVE-2026-53981Wysokie
Cap-go w wersjach przed 12.128.2 zawiera podatność na przejęcie konta w mechanizmie zmiany adresu e-mail, która pozwala atakującemu z tymczasową sesją uwierzytelnioną na zmianę zarejestrowanego adresu e-mail bez ponownej autoryzacji. Atakujący mogą przekierować weryfikację na kontrolowany przez siebie adres e-mail i następnie zresetować hasło, aby na stałe przejąć konto ofiary.
Oryginalny opis (angielski, źródło NVD)
Cap-go before 12.128.2 contains an authentication logic flaw that lets an attacker register and control an account bound to a victim's email address before that email is verified. By enabling two-factor authentication on the pre-registered account, the attacker gains control over the account claimed under the victim's identity, allowing them to read and modify its state and enforce organization-level policies, while the legitimate user is denied access to the account tied to their own email.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS