CVE-2026-56220
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie autoryzacji w polityce INSERT dla public.manifest, co pozwala członkom organizacji z dostępem tylko do odczytu na wstawianie wierszy manifestu OTA. Atakujący z takim dostępem mogą wstrzykiwać złośliwe wpisy manifestu z dowolnymi wartościami s3_path, które są dostarczane do urządzeń przez nieuwierzytelniony endpoint /updates, prowadząc do zatrucia metadanych OTA i potencjalnego dostarczenia złośliwych zasobów.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego zatrucia metadanych aktualizacji OTA przez atakującego z ograniczonym dostępem, co może skutkować dostarczeniem złośliwych plików do urządzeń końcowych i naruszeniem integralności systemu.
Rekomendacja
Należy niezwłocznie zaktualizować Capgo do wersji 12.128.2 lub nowszej, która zawiera poprawkę usuwającą podatność. Dodatkowo warto ograniczyć uprawnienia członków organizacji tylko do niezbędnych operacji.
Oryginalny opis (angielski, źródło NVD)
Capgo before 12.128.2 contains an authorization bypass vulnerability in the public.manifest INSERT policy that allows read-only org members to insert OTA manifest rows. Attackers with read-only org access can inject malicious manifest entries with arbitrary s3_path values that are served to devices via the unauthenticated /updates endpoint, enabling OTA metadata poisoning and potential malicious asset delivery.