CVE-2026-56307
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Cap-go przed wersją 12.128.12 zawiera podatność na uszkodzoną paginację kursorów w punkcie końcowym /private/devices, co pozwala uwierzytelnionym atakującym na wywołanie pętli zduplikowanych stron i uniemożliwienie dostępu do późniejszych wierszy.
Ocena ryzyka
Atakujący z dostępem app.read_devices mogą wykorzystać tę podatność do wywołania nieskończonych pętli paginacji, co prowadzi do problemów z przetwarzaniem w ramach zarządzania urządzeniami.
Rekomendacja
Zaleca się aktualizację do wersji Cap-go 12.128.12 lub nowszej, aby usunąć tę podatność oraz przeglądanie i ograniczenie dostępu do punktu końcowego /private/devices.
Inne podatności w Cap-go
Zobacz wszystkie- CVE-2026-56081Krytyczne
Cap-go w wersjach przed 12.128.2 zawiera błąd w logice uwierzytelniania, który pozwala atakującemu zarejestrować i kontrolować konto powiązane z adresem e-mail ofiary przed jego weryfikacją. Włączenie uwierzytelniania dwuskładnikowego na wstępnie zarejestrowanym koncie umożliwia atakującemu przejęcie kontroli nad kontem ofiary.
- CVE-2026-56073Krytyczne
Cap-go przed wersją 12.128.2 zawiera podatność na obejście uwierzytelniania w weryfikacji OTP, co pozwala atakującym na ominięcie weryfikacji e-mailowej poprzez modyfikację odpowiedzi serwera. Atakujący mogą przechwytywać żądania weryfikacji OTP i manipulować odpowiedziami HTTP, co umożliwia fałszywe oznaczenie weryfikacji jako udanej.
- CVE-2026-56296Średnie
Podatność w Cap-go przed wersją 12.128.2 ujawnia informacje poprzez funkcję RPC public.transfer_app, która zwraca różne komunikaty błędów dla istniejących i nieistniejących identyfikatorów aplikacji. Nieuwierzytelnieni atakujący mogą wyliczyć prawidłowe ID aplikacji, obserwując różnice w komunikatach błędów przy użyciu jedynie publikowalnego klucza API.
- CVE-2026-56310Średnie
Cap-go przed wersją 12.128.2 zawiera lukę w autoryzacji w punkcie końcowym GET /organization/members, która pozwala kluczom API ograniczonym do organizacji na obejście ograniczeń limited_to_orgs. Napastnicy z takimi kluczami mogą uzyskać dostęp do danych członkostwa z organizacji spoza przypisanego zakresu.
- CVE-2026-56280Wysokie
Cap-go przed wersją 12.128.2 zawiera podatność na inwersję uprawnień w GET /build/logs/:jobId, która pozwala posiadaczom kluczy API tylko do odczytu na anulowanie działających natywnych budów. Punkt końcowy rejestruje nasłuchiwacz przerwania na strumieniu SSE, który bezwarunkowo wywołuje cancelBuildOnDisconnect() przy użyciu uprzywilejowanego klucza BUILDER_API_KEY.
- CVE-2026-56221Średnie
Cap-go przed wersją 12.128.2 zawiera wiele podatności na wstrzykiwanie SQL w pliku cloudflare.ts, gdzie wartości kontrolowane przez użytkownika z ciał żądań API są interpolowane bezpośrednio do ciągów zapytań SQL bez sanitizacji lub parametryzacji. Użytkownicy z uprawnieniami do odczytu klucza API mogą wstrzykiwać dowolny SQL przez parametry deviceIds, search, version_name, cursor i actions.
- CVE-2026-56316Średnie
Cap-go przed wersją 12.128.2 zawiera podatność na ujawnienie informacji w punkcie końcowym OPTIONS /build/upload/:jobId/*. Umożliwia to nieautoryzowanym atakującym enumerację ważnych identyfikatorów zadań budowy poprzez różnice w odpowiedziach.
- CVE-2026-53981Wysokie
Cap-go w wersjach przed 12.128.2 zawiera podatność na przejęcie konta w mechanizmie zmiany adresu e-mail, która pozwala atakującemu z tymczasową sesją uwierzytelnioną na zmianę zarejestrowanego adresu e-mail bez ponownej autoryzacji. Atakujący mogą przekierować weryfikację na kontrolowany przez siebie adres e-mail i następnie zresetować hasło, aby na stałe przejąć konto ofiary.
Oryginalny opis (angielski, źródło NVD)
Cap-go before 12.128.12 contains a broken cursor pagination vulnerability in the /private/devices endpoint on the Cloudflare/workerd path that allows authenticated attackers to cause duplicate-page loops and make later rows unreachable. Attackers with app.read_devices access can exploit non-advancing cursor filters to trigger infinite pagination loops, prevent dataset traversal, and cause repeated processing in device-management workflows.