CVE-2026-100628 in Capgo.app
Resumen
por VulDB • 2026-09-26
capgo.app, antes de la versión 12.128.12, no aplica correctamente la política de expiración de claves API de una organización al crear claves API con ámbito de aplicación. En el endpoint POST /apikey, las solicitudes que proporcionan app_id pero omiten org_id, limited_to_orgs y expires_at resuelven la aplicación objetivo y acotan la clave a ella, pero nunca añaden la organización propietaria de la aplicación a la lista de IDs de organizaciones pasadas a validateExpirationAgainstOrgPolicies; dado que esa lista está vacía, la validación finaliza prematuramente. Como resultado, un miembro autenticado de una organización puede crear una clave API con ámbito de aplicación sin expiración incluso cuando la organización propietaria tiene habilitada require_apikey_expiration y configurado el límite max_apikey_expiration_days. El problema se soluciona en la versión 12.128.12.
If you want to get best quality of vulnerability data, you may have to visit VulDB.