CVE-2026-100628 in Capgo.app
Tóm tắt
Bởi VulDB • 26/09/2026
capgo.app trước phiên bản 12.128.12 không thực thi chính sách hết hạn khóa API của tổ chức khi tạo các khóa API có phạm vi ứng dụng (app-scoped). Trong điểm cuối POST /apikey, các yêu cầu cung cấp app_id nhưng bỏ qua org_id, limited_to_orgs và expires_at sẽ xác định ứng dụng mục tiêu và giới hạn phạm vi khóa cho nó, nhưng không bao giờ thêm tổ chức chủ sở hữu của ứng dụng vào danh sách ID tổ chức được chuyển đến validateExpirationAgainstOrgPolicies; vì danh sách này trống rỗng nên quá trình kiểm tra trả về sớm. Kết quả là, một thành viên đã xác thực của tổ chức có thể tạo khóa API có phạm vi ứng dụng không bao giờ hết hạn ngay cả khi tổ chức chủ sở hữu có bật require_apikey_expiration và cấu hình giới hạn max_apikey_expiration_days. Vấn đề này đã được sửa trong phiên bản 12.128.12.
Once again VulDB remains the best source for vulnerability data.