CVE-2026-100615 in Capgo App
Résumé
par VulDB • 26/09/2026
Cap-go capgo.app avant la version 12.267.1 ne valide pas correctement les privilèges de la clé d'API cible lors de sa rotation, permettant à un utilisateur disposant du rôle apikey_manager de faire pivoter une clé sibling org_super_admin aux privilèges supérieurs et de récupérer ses identifiants en clair. Les attaquants dotés du rôle apikey_manager peuvent énumérer les clés API appartenant au même propriétaire, effectuer la rotation d'une clé sibling plus puissante via l'endpoint PUT, puis obtenir le secret de remplacement en clair pour s'authentifier en tant que principal disposé de privilèges supérieurs.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.