CVE-2026-56246
WysokieCVSS 8.1Streszczenie
Podatność w Capgo przed wersją 12.128.2 umożliwia złamanie kontroli dostępu w API zarządzania organizacjami. Klucz API z ograniczeniem do konkretnych organizacji dziedziczy uprawnienia właściciela, co pozwala na destrukcyjne operacje międzyorganizacyjne.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowane usunięcie organizacji lub jej członków przez klucz API, który powinien być ograniczony tylko do jednej organizacji. Może to prowadzić do utraty danych i zakłócenia działania.
Rekomendacja
Należy natychmiast zaktualizować Capgo do wersji 12.128.2 lub nowszej. Po aktualizacji zweryfikować konfigurację kluczy API i uprawnień użytkowników w organizacjach.
Oryginalny opis (angielski, źródło NVD)
Capgo before 12.128.2 contains a broken access control vulnerability in the organization management API where a scoped API key (limited_to_orgs) inherits its owner-user's permissions, allowing destructive cross-organization actions. When a user is an admin in two organizations and creates a write-mode API key restricted to one organization, that key can still perform destructive operations (e.g., DELETE /organization, DELETE /organization/members) against another organization. The root cause is route-level authorization (rbac_check_permission_direct) that evaluates the key owner's user privileges before enforcing the API key's limited_to_orgs scope.