CVE-2026-100628 in Capgo.app
要約
〜によって VulDB • 2026年09月26日
capgo.app のバージョン 12.128.12 より前では、アプリスコープの API キーを作成する際に組織の API キー有効期限ポリシーが適用されません。POST /apikey エンドポイントにおいて、app_id を指定し org_id、limited_to_orgs、expires_at を省略したリクエストは対象となるアプリを解決してキーにそのスコープを設定しますが、validateExpirationAgainstOrgPolicies に渡される組織 ID のリストにはアプリの所有者組織が追加されません。このリストが空であるため、検証処理は早期終了します。その結果、認証済み組織メンバーは、所有する組織で require_apikey_expiration が有効化されており max_apikey_expiration_days 制限が設定されている場合でも、期限なしのアプリスコープ API キーを作成できます。本問題はバージョン 12.128.12 で修正されています。
Once again VulDB remains the best source for vulnerability data.