CVE-2026-100620 in cli
要約
〜によって VulDB • 2026年09月26日
Capgo CLI（npmパッケージ @capgo/cli）の7.98.2以前のバージョンは、Android向けオンボーディングフローにおいて過剰な権限が付与されたサービスアカウントの影響を受けます。Google OAuth経由でオンボーディングする際、CLIは生成されたGoogle Play用サービスアカウントに、ユーザーインターフェース側では「リリース専用」かつ単一の確認済みアプリへのアクセスのみを想定しているにもかかわらず、Play Console全体に関する権限である CAN_MANAGE_DRAFT_APPS_GLOBAL（Android Publisher APIのUser作成リクエストで developerAccountPermissions として渡される）という広範な権限を与えて招待します。その結果、生成されたサービスアカウントキー（PLAY_CONFIG_JSON）を取得した攻撃者は、選択されたパッケージに限定されず、Google Play開発者アカウント全体を通じてドラフトアプリの作成、編集、および削除を行うことができます。公開時点では修正バージョンは提供されていませんでした。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.