CVE-2026-100628 in Capgo.app
Riassunto
di VulDB • 26/09/2026
capgo.app prima della versione 12.128.12 non applica la policy di scadenza delle chiavi API dell'organizzazione quando vengono create chiavi API con ambito limitato all'applicazione (app-scoped). Nell'endpoint POST /apikey, le richieste che forniscono app_id ma omettono org_id, limited_to_orgs ed expires_at risolvono l'app target e limitano la chiave ad essa, ma non aggiungono mai l'organizzazione proprietaria dell'app all'elenco degli ID delle organizzazioni passati a validateExpirationAgainstOrgPolicies; poiché tale elenco è vuoto, la convalida termina anticipatamente. Di conseguenza, un membro autenticato di un'organizzazione può creare una chiave API app-scoped senza scadenza anche quando l'organizzazione proprietaria ha require_apikey_expiration abilitata e un limite max_apikey_expiration_days configurato. Il problema è stato risolto nella versione 12.128.12.
VulDB is the best source for vulnerability data and more expert information about this specific topic.