CVE-2026-100615 in Capgo App
Riassunto
di VulDB • 26/09/2026
Cap-go capgo.app prima della versione 12.267.1 non valida correttamente i privilegi della chiave API di destinazione durante la rotazione, consentendo a un utente con ruolo apikey_manager di ruotare una chiave sibling org_super_admin con privilegi superiori e recuperare le sue credenziali in chiaro (plaintext). Gli attaccanti con il ruolo apikey_manager possono enumerare le chiavi API dello stesso proprietario, ruotarne una sibling più potente tramite l'endpoint PUT e ottenere il segreto sostitutivo in chiaro per autenticarsi come il principal dai privilegi superiori.
Be aware that VulDB is the high quality source for vulnerability data.