CVE-2026-56247
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Podatność w Capgo przed wersją 12.128.2 umożliwia administratorom organizacji przypisywanie ról RBAC o zasięgu organizacyjnym na poziomie aplikacji bez walidacji zgodności zakresu, w tym dla oczekujących zaproszeń. Atakujący mogą wstępnie utworzyć nieprawidłowe powiązania o wysokich uprawnieniach, które przetrwają akceptację zaproszenia, umożliwiając użytkownikom o niskich uprawnieniach wykonywanie nieautoryzowanych uprzywilejowanych działań w aplikacji.
Ocena ryzyka
Ryzyko polega na możliwości eskalacji uprawnień przez użytkowników o niskim poziomie dostępu, co może prowadzić do nieautoryzowanego dostępu do wrażliwych funkcji aplikacji i naruszenia integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację Capgo do wersji 12.128.2 lub nowszej, która zawiera poprawkę walidującą zgodność zakresu ról RBAC.
Inne podatności w Capgo
Zobacz wszystkie- CVE-2026-56335Średnie
Podatność w Capgo przed wersją 12.128.2 umożliwia ominięcie autoryzacji, gdzie klucze API z zakresem zapisu mogą bezpośrednio modyfikować chronione pola konfiguracji kanałów przez PostgREST, wykorzystując brak sprawdzania uwierzytelnienia w wyzwalaczu niezmienności. Atakujący z kluczami API do zapisu mogą zmieniać wrażliwe atrybuty kanałów, takie jak public, allow_emulator i flagi związane z bezpieczeństwem, poza zamierzonymi ścieżkami aplikacji.
- CVE-2026-56329Średnie
Podatność w Capgo przed wersją 12.128.2 wynika z niebijectywnego dekodowania podwójnych podkreślników na kropki podczas parsowania nazw hostów wersji zapoznawczych. Atakujący mogą rejestrować identyfikatory aplikacji z podkreślnikami, które kolidują z identyfikatorami z kropkami innych dzierżawców, powodując błędne kierowanie wersji zapoznawczych i odmowę dostępu do wersji zapoznawczych dla ofiar.
- CVE-2026-56312Średnie
Podatność w Capgo przed wersją 12.128.2 w punkcie końcowym accept_invitation powoduje, że konta użytkowników są tworzone przed weryfikacją captcha. Atakujący mogą ominąć ochronę captcha, wysyłając żądania POST z nieprawidłowymi tokenami captcha, co umożliwia tworzenie niechcianych kont i wypalanie linków zaproszeń.
- CVE-2026-56309Średnie
Podatność w Capgo przed wersją 12.128.2 nie egzekwuje ograniczeń planu/kwoty na endpointcie /files/upload/attachments, co pozwala aplikacjom zablokowanym przez plan na tworzenie publicznie czytelnych obiektów R2. Atakujący mogą przesyłać dowolne załączniki przy użyciu kluczy API z zakresem upload, które omijają sprawdzanie planu, utrzymują się poza normalnymi metadanymi pakietu i przetrwają usunięcie aplikacji, umożliwiając nadużycie pamięci i przepustowości.
- CVE-2026-56279Wysokie
Podatność w Capgo przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC get_orgs_v7(userid), która jest publicznie wywoływalna mimo zamierzonej prywatnej kontroli dostępu. Nieuwierzytelnieni atakujący mogą podać dowolne UUID użytkownika, aby pobrać dane o członkostwie w organizacjach, rolach, służbowych adresach e-mail i metadanych rozliczeniowych innych użytkowników.
- CVE-2026-56298Średnie
Podatność w Capgo przed wersją 12.128.2 polega na braku usuwania metadanych EXIF z obrazów przesyłanych przez endpoint informacji o aplikacji. Umożliwia to atakującym wyodrębnienie danych geolokalizacyjnych i innych metadanych z przesłanych plików.
- CVE-2026-56293Średnie
Podatność w Capgo przed wersją 12.128.2 wynika z błędu autoryzacji w funkcji transfer_app(), która nie aktualizuje pola deploy_history.owner_org podczas przenoszenia aplikacji między organizacjami. Atakujący mogą wykorzystać to przeoczenie, aby zachować nieautoryzowany dostęp do historii wdrożeń w źródłowej organizacji lub spowodować utratę dostępu do przeniesionych rekordów wdrożeń w docelowej organizacji.
- CVE-2026-56283Średnie
Podatność HTML injection w Capgo przed wersją 12.128.2 w punkcie końcowym ustawień organizacji umożliwia atakującym wstrzyknięcie złośliwego kodu HTML. Poprzez pole nazwy organizacji mogą oni przekierowywać użytkowników na niebezpieczne strony, co prowadzi do ataków phishingowych i szkód w reputacji.
- CVE-2026-56250Wysokie
Podatność w Capgo przed wersją 12.128.2 pozwala kluczom API z ograniczeniami do przesyłania modyfikować pole app_versions.r2_path przez PostgREST, co umożliwia przekierowanie do dowolnych obiektów R2. Atakujący może ustawić r2_path na obiekt ofiary, usunąć swoją wersję i wywołać funkcję czyszczącą on_version_update, która usunie obiekt ofiary, powodując denial of service.
- CVE-2026-56246Wysokie
Podatność w Capgo przed wersją 12.128.2 umożliwia złamanie kontroli dostępu w API zarządzania organizacjami. Klucz API z ograniczeniem do konkretnych organizacji dziedziczy uprawnienia właściciela, co pozwala na destrukcyjne operacje międzyorganizacyjne.
Oryginalny opis (angielski, źródło NVD)
Capgo before 12.128.2 allows org admins to assign org-scoped RBAC roles at app scope without validating role scope compatibility, including to pending invitees. Attackers can pre-seed malformed high-privilege bindings that survive invite acceptance, enabling accepted low-privilege users to perform unauthorized privileged app actions.