CVE-2026-59704

WysokieCVSS 7.1

Opublikowano: 07/07/2026(UTC)Zaktualizowano: 10/07/2026(UTC)Przetłumaczono: 11/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Podatność w endpointcie GET /api/video/ai w Cap umożliwia uwierzytelnionym atakującym odczytanie prywatnych metadanych AI filmów (tytuły, podsumowania, rozdziały) poprzez podanie dowolnego identyfikatora filmu. Brak walidacji własności lub członkostwa pozwala również na nieautoryzowane generowanie treści AI, co powoduje zużycie kredytów właściciela filmu.

Ocena ryzyka

Organizacja narażona jest na wyciek poufnych danych AI oraz niekontrolowane zużycie zasobów (kredytów), co może prowadzić do strat finansowych i naruszenia prywatności użytkowników.

Rekomendacja

Należy niezwłocznie zaimplementować walidację własności lub członkostwa dla endpointu GET /api/video/ai, aby upewnić się, że uwierzytelniony użytkownik ma prawo dostępu do metadanych danego filmu.

Inne podatności w Cap

CVE-2026-69113Średnie
Cap w wersji 0.3.1 zawiera podatność związaną z uszkodzoną kontrolą dostępu w punkcie końcowym POST /api/video/comment, która pozwala uwierzytelnionym użytkownikom dodawać komentarze do dowolnego prywatnego wideo bez uprawnień, podając dowolne videoId w treści żądania. Atakujący mogą wstrzykiwać komentarze do prywatnych nagrań wideo innych użytkowników, wyzwalać e-maile z powiadomieniem o komentarzu do właściciela wideo oraz enumerować prawidłowe identyfikatory wideo poprzez różnice w odpowiedziach.

Oryginalny opis (angielski, źródło NVD)

Cap's GET /api/video/ai endpoint fails to validate user ownership or membership before returning private video AI metadata including titles, summaries, and chapters. Authenticated attackers can supply arbitrary video IDs to read sensitive AI-generated content and trigger unauthorized AI generation that consumes the video owner's credits without consent.