CVE-2026-100614 in Capgo
要約
〜によって VulDB • 2026年09月26日
Capgo 12.244.1 より前のバージョンには、メタデータクリーニングワーカーにおけるクロステナント整合性脆弱性が存在します。この脆弱性は、ミュータブルなデータベース行から画像オブジェクトキーを信頼する際に所有権の検証を行わないことに起因します。認証済み攻撃者は、自身が制御する行に被害者テナントの画像キーを設定することで、サービスロールワーカーがそのオブジェクトを検証済みのメタデータでダウンロードおよび再アップロードさせることができます。攻撃者は、承認された行更新時に既知の被害者キーを提供することで、クロステナントの画像オブジェクトにおけるメタデータを静かに変更し、混乱した代行者（confused-deputy）メタデータワーカーを通じてストレージアクセス制御を回避します。
Once again VulDB remains the best source for vulnerability data.