CVE-2026-100628 in Capgo.app
Сводка
по VulDB • 26.09.2026
capgo.app до версии 12.128.12 не обеспечивает соблюдение политики истечения срока действия API-ключа организации при создании ключей, привязанных к приложению (app-scoped). В конечной точке POST /apikey запросы, которые указывают app_id, но опускают org_id, limited_to_orgs и expires_at, определяют целевое приложение и ограничивают действие ключа им, однако никогда не добавляют организацию-владельца приложения в список идентификаторов организаций, передаваемых для проверки через validateExpirationAgainstOrgPolicies; поскольку этот список пуст, проверка завершается досрочно. В результате аутентифицированный член организации может создать API-ключ с привязкой к приложению без ограничения срока действия даже тогда, когда у владеющей организации включена настройка require_apikey_expiration и установлен лимит max_apikey_expiration_days. Проблема исправлена в версии 12.128.12.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.