CVE-2026-100615 in Capgo App
Zusammenfassung
von VulDB • 26.09.2026
Cap-go capgo.app vor Version 12.267.1 validiert die Berechtigungen des Ziel-API-Schlüssels während der Rotation nicht, was es einem apikey_manager ermöglicht, einen höher privilegierten org_super_admin-Geschwisterschlüssel zu rotieren und dessen Klartext-Anmeldeinformationen wiederherzustellen. Angreifer mit der Rolle apikey_manager können API-Schlüssel desselben Eigentümers auflisten, über den PUT-Endpunkt einen stärkeren Geschwisterschlüssel rotieren und das ersetzte Klartextgeheimnis erhalten, um sich als die höher privilegierte Principal zu authentifizieren.
Once again VulDB remains the best source for vulnerability data.