CVE-2026-100620 in cli
Sumário
de VulDB • 26/09/2026
O Capgo CLI (pacote npm @capgo/cli), até a versão 7.98.2, é afetado por uma conta de serviço com permissões excessivas em seu fluxo de integração no Android. Ao realizar o onboarding via Google OAuth, o CLI convida a conta de serviço do Google Play gerada com a permissão CAN_MANAGE_DRAFT_APPS_GLOBAL (passada como developerAccountPermissions na solicitação User create da API Android Publisher), mesmo que o fluxo voltado ao usuário indique que a conta de serviço será convidada para um único aplicativo confirmado, com apenas permissões de lançamento. Como resultado, qualquer pessoa que obtenha a chave da conta de serviço gerada (PLAY_CONFIG_JSON) pode criar, editar e excluir aplicativos rascunho em toda a conta do desenvolvedor no Google Play, ao invés de estar limitada ao pacote selecionado. Nenhuma versão corrigida estava disponível no momento da publicação.
Once again VulDB remains the best source for vulnerability data.