CVE-2026-56280
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Cap-go przed wersją 12.128.2 zawiera podatność na inwersję uprawnień w GET /build/logs/:jobId, która pozwala posiadaczom kluczy API tylko do odczytu na anulowanie działających natywnych budów. Punkt końcowy rejestruje nasłuchiwacz przerwania na strumieniu SSE, który bezwarunkowo wywołuje cancelBuildOnDisconnect() przy użyciu uprzywilejowanego klucza BUILDER_API_KEY.
Ocena ryzyka
Atakujący z kluczami API tylko do odczytu mogą wielokrotnie zakłócać operacje budowy natywnej oraz procesy CI/CD, co prowadzi do poważnych zakłóceń w pracy organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 12.128.2 lub nowszej, aby usunąć tę podatność oraz przegląd uprawnień kluczy API w celu ograniczenia dostępu do krytycznych operacji.
Inne podatności w Cap-go
Zobacz wszystkie- CVE-2026-56081Krytyczne
Cap-go w wersjach przed 12.128.2 zawiera błąd w logice uwierzytelniania, który pozwala atakującemu zarejestrować i kontrolować konto powiązane z adresem e-mail ofiary przed jego weryfikacją. Włączenie uwierzytelniania dwuskładnikowego na wstępnie zarejestrowanym koncie umożliwia atakującemu przejęcie kontroli nad kontem ofiary.
- CVE-2026-56073Krytyczne
Cap-go przed wersją 12.128.2 zawiera podatność na obejście uwierzytelniania w weryfikacji OTP, co pozwala atakującym na ominięcie weryfikacji e-mailowej poprzez modyfikację odpowiedzi serwera. Atakujący mogą przechwytywać żądania weryfikacji OTP i manipulować odpowiedziami HTTP, co umożliwia fałszywe oznaczenie weryfikacji jako udanej.
- CVE-2026-56296Średnie
Podatność w Cap-go przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC public.transfer_app, która zwraca różne komunikaty błędów dla istniejących i nieistniejących identyfikatorów aplikacji. Nieuwierzytelnieni atakujący mogą wyliczyć prawidłowe ID aplikacji, obserwując różnice w komunikatach błędów przy użyciu jedynie publikowalnego klucza API.
- CVE-2026-56310Średnie
Cap-go przed wersją 12.128.2 zawiera lukę w autoryzacji w punkcie końcowym GET /organization/members, która pozwala kluczom API ograniczonym do organizacji na obejście ograniczeń limited_to_orgs. Napastnicy z takimi kluczami mogą uzyskać dostęp do danych członkostwa z organizacji spoza przypisanego zakresu.
- CVE-2026-56221Średnie
Cap-go przed wersją 12.128.2 zawiera wiele podatności na wstrzykiwanie SQL w pliku cloudflare.ts, gdzie wartości kontrolowane przez użytkownika z ciał żądań API są interpolowane bezpośrednio do ciągów zapytań SQL bez sanitizacji lub parametryzacji. Użytkownicy z uprawnieniami do odczytu klucza API mogą wstrzykiwać dowolny SQL przez parametry deviceIds, search, version_name, cursor i actions.
- CVE-2026-56316Średnie
Cap-go przed wersją 12.128.2 zawiera podatność na ujawnienie informacji w punkcie końcowym OPTIONS /build/upload/:jobId/*. Umożliwia to nieautoryzowanym atakującym enumerację ważnych identyfikatorów zadań budowy poprzez różnice w odpowiedziach.
- CVE-2026-56307Średnie
Cap-go przed wersją 12.128.12 zawiera podatność na uszkodzoną paginację kursorów w punkcie końcowym /private/devices, co pozwala uwierzytelnionym atakującym na wywołanie pętli zduplikowanych stron i uniemożliwienie dostępu do późniejszych wierszy.
- CVE-2026-53981Wysokie
Cap-go w wersjach przed 12.128.2 zawiera podatność na przejęcie konta w mechanizmie zmiany adresu e-mail, która pozwala atakującemu z tymczasową sesją uwierzytelnioną na zmianę zarejestrowanego adresu e-mail bez ponownej autoryzacji. Atakujący mogą przekierować weryfikację na kontrolowany przez siebie adres e-mail i następnie zresetować hasło, aby na stałe przejąć konto ofiary.
Oryginalny opis (angielski, źródło NVD)
Cap-go before 12.128.2 contains a privilege inversion vulnerability in GET /build/logs/:jobId that allows read-only API key holders to cancel running native builds. The endpoint registers an abort listener on the SSE stream that unconditionally invokes cancelBuildOnDisconnect() using the privileged server-side BUILDER_API_KEY when clients disconnect, bypassing the app.build_native permission check required by the explicit POST /build/cancel/:jobId endpoint. Attackers with read-only API keys can repeatedly disrupt native build operations and CI/CD workflows by opening the log stream and dropping the connection.