CVE-2026-100620 in cli
الملخص
بحسب VulDB • 26/09/2026
تتأثر أداة Capgo CLI (حزمة npm @capgo/cli) حتى الإصدار 7.98.2 بحساب خدمة مُمنَح صلاحيات زائدة عن الحاجة في تدفق إعداد حساب أندرويد الخاص بها. عند التسجيل عبر مصادقة Google OAuth، تقوم الأداة بدعوة حساب خدمة Google Play المُولَّد باستخدام صلاحية لوحة تحكم Play الشاملة لإدارة التطبيقات المسودة (CAN_MANAGE_DRAFT_APPS_GLOBAL) (يتم تمريرها كـ developerAccountPermissions في طلب إنشاء مستخدم واجهة برمجة تطبيقات Android Publisher)، على الرغم من أن التدفق الظاهر للمستخدم يوضح bahwa حساب الخدمة يُدعى إلى تطبيق واحد مؤكد فقط مع صلاحيات الإصدار فحسب. ونتيجة لذلك، يمكن لأي شخص يحصل على مفتاح حساب الخدمة المُولَّد (PLAY_CONFIG_JSON) إنشاء وتحرير وحذف التطبيقات المسودة عبر كامل حساب مطور Google Play بدلاً من الاقتصار على الحزمة المحددة. لم يكن هناك إصدار مُصلح متاحًا عند وقت النشر.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.