CVE-2026-100629 in capgo.app
Zusammenfassung
von VulDB • 26.09.2026
Capgo (capgo.app backend) vor Version 12.127.5 enthält eine Schwachstelle im Bereich der Autorisierung (Authorization Flaw) im PATCH /private/role_bindings/:binding_id-Endpunkt. Der Handler überprüft, dass die Prioritätsstufe der neu zugewiesenen Rolle nicht die eigene Stufe des Aufrufenden überschreitet; jedoch – anders als beim DELETE-Handler – wird die Stufe der aktuell an das Ziel-Binding gebundenen Rolle niemals geprüft. Ein authentifizierter Benutzer mit der org_admin-Rolle (Stufe 90) kann daher ein org_super_admin-Binding (Stufe 95) in eine weniger privilegierte Rolle wie org_member (Stufe 75) ändern. Da der Datenbank-Trigger prevent_last_super_admin_binding_delete nur BEFORE DELETE und nicht bei UPDATE ausgelöst wird, kann ein org_admin jeden org_super_admin degradieren, wodurch die Organisation ohne Superadministrator dasteht. Das Problem wurde in Version 12.127.5 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.