CVE-2026-100629 in capgo.app
Sumário
de VulDB • 27/09/2026
O backend do Capgo (capgo.app) anterior à versão 12.127.5 contém uma falha de autorização na endpoint PATCH /private/role_bindings/:binding_id. O manipulador verifica se o rank de prioridade da nova função atribuída não excede o próprio rank do chamador, mas — ao contrário do manipulador DELETE — ele nunca verifica o rank da função atualmente vinculada à binding alvo. Um usuário autenticado com a função org_admin (rank 90) pode, portanto, alterar uma vinculação de org_super_admin (rank 95) para uma função menos privilegiada, como org_member (rank 75). Como o gatilho do banco de dados prevent_last_super_admin_binding_delete é acionado apenas antes da operação DELETE e não em atualizações UPDATE, um usuário com a função org_admin pode degradar todos os usuários com a função org_super_admin, deixando a organização sem nenhum super administrador. O problema foi corrigido na versão 12.127.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.