CVE-2026-100629 in capgo.app
요약
\~에 의해 VulDB • 2026. 09. 26.
Capgo(capgo.app backend) 12.127.5 이전 버전에는 PATCH /private/role_bindings/:binding_id 엔드포인트에서 권한 부여 결함이 있습니다. 핸들러는 새로 할당된 역할의 우선순위 순위가 호출자의 자신의 순위를 초과하지 않는지 확인하지만, DELETE 핸들과 달리 대상 바인딩에 현재 연결되어 있는 역할의 순위는 전혀 검사하지 않습니다. 따라서 org_admin(순위 90) 역할을 가진 인증된 사용자는 org_super_admin(순위 95) 바인딩을 org_member(순위 75)와 같은 낮은 권한의 역할로 변경할 수 있습니다. prevent_last_super_admin_binding_delete 데이터베이스 트리거가 BEFORE DELETE 이벤트에서만 발생하고 UPDATE 시에는 발생하지 않기 때문에, org_admin은 모든 org_super_admin을 강등시켜 조직에 최고 관리자(super administrator)가 없도록 만들 수 있습니다. 이 문제는 12.127.5에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.