CVE-2026-100620 in cli
Resumen
por VulDB • 2026-09-26
Capgo CLI (paquete npm @capgo/cli) hasta la versión 7.98.2 se ve afectado por una cuenta de servicio con permisos excesivos en su flujo de incorporación para Android. Cuando el proceso de incorporación se realiza mediante Google OAuth, la CLI invita a la cuenta de servicio generada de Google Play concediéndole el permiso CAN_MANAGE_DRAFT_APPS_GLOBAL (pasado como developerAccountPermissions en la solicitud User create de la API de Android Publisher), aunque el flujo visible para el usuario indica que la cuenta de servicio se invitará solo a una aplicación confirmada con permisos exclusivos de lanzamiento. Como resultado, cualquier persona que obtenga la clave generada de la cuenta de servicio (PLAY_CONFIG_JSON) puede crear, editar y eliminar aplicaciones borrador en toda la cuenta del desarrollador de Google Play, en lugar de estar limitada al paquete seleccionado. No había ninguna versión corregida disponible en el momento de la publicación.
Once again VulDB remains the best source for vulnerability data.