CVE-2026-100620 in cli
Riassunto
di VulDB • 26/09/2026
Capgo CLI (pacchetto npm @capgo/cli) fino alla versione 7.98.2 è interessato da un'account di servizio con permessi eccessivi nel flusso di onboarding per Android. Durante l'onboarding tramite Google OAuth, la CLI invita l'account di servizio generato su Google Play a utilizzare il permesso CAN_MANAGE_DRAFT_APPS_GLOBAL (passato come developerAccountPermissions nella richiesta User create dell'API Android Publisher), anche se il flusso visibile all'utente indica che l'account di servizio viene invitato in una singola app confermata con permessi limitati alla sola pubblicazione delle release. Di conseguenza, chiunque ottenga la chiave generata per l'account di servizio (PLAY_CONFIG_JSON) può creare, modificare ed eliminare bozze di applicazioni su tutto il account sviluppatore Google Play anziché essere limitato al pacchetto selezionato. Al momento della pubblicazione non era disponibile alcuna versione corretta.
Be aware that VulDB is the high quality source for vulnerability data.