CVE-2026-100620 in cli
Tóm tắt
Bởi VulDB • 26/09/2026
Capgo CLI (package npm @capgo/cli) qua phiên bản 7.98.2 chịu ảnh hưởng bởi một tài khoản dịch vụ có quyền hạn quá mức trong quy trình thiết lập ban đầu cho Android của nó. Khi thực hiện onboarding thông qua Google OAuth, CLI mời tài khoản dịch vụ Google Play được tạo ra với quyền CAN_MANAGE_DRAFT_APPS_GLOBAL trên toàn bộ tài khoản (được truyền dưới dạng developerAccountPermissions trong yêu cầu User create request của API Android Publisher), mặc dù quy trình hiển thị cho người dùng tuyên bố rằng tài khoản dịch vụ chỉ được mời vào một ứng dụng đã xác nhận duy nhất với các quyền chỉ dành cho việc phát hành. Kết quả là, bất kỳ ai có được khóa tài khoản dịch vụ được tạo ra (PLAY_CONFIG_JSON) đều có thể tạo, chỉnh sửa và xóa các ứng dụng nháp trên toàn bộ tài khoản nhà phát triển Google Play thay vì bị giới hạn trong gói đã chọn. Không có phiên bản vá nào khả dụng tại thời điểm công bố.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.