CVE-2026-56216
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 — wyżej niż 16% wszystkich znanych CVE
Streszczenie
Capgo w wersjach przed 12.128.2 zawiera podatność na eskalację zakresu w punkcie końcowym POST /functions/v1/apikey, która pozwala na generowanie nieograniczonych kluczy API przez klucze z ograniczeniami aplikacji poprzez ustawienie pustych limitów.
Ocena ryzyka
Atakujący z kompromitowanym kluczem z ograniczeniami aplikacji mogą stworzyć klucz bez ograniczeń, co daje dostęp do zasobów organizacji, takich jak listy aplikacji i inne chronione punkty końcowe.
Rekomendacja
Zaleca się aktualizację do wersji Capgo 12.128.2 lub nowszej, aby usunąć tę podatność oraz monitorowanie użycia kluczy API w celu wykrycia potencjalnych nadużyć.
Oryginalny opis (angielski, źródło NVD)
Capgo before 12.128.2 contains a scope escalation vulnerability in the POST /functions/v1/apikey endpoint that allows app-limited API keys to mint unrestricted keys by setting empty limits. Attackers with a compromised app-limited key can create an unrestricted key with org-wide access to resources like app listings and other protected endpoints.