CVE-2026-100628 in Capgo.app
摘要
由 VulDB • 2026-09-26
capgo.app nella versione precedente alla 12.128.12 non applica correttamente la policy di scadenza della chiave API dell'organizzazione durante la creazione delle chiavi API con ambito applicazione (app-scoped). Nell'endpoint POST /apikey, le richieste che forniscono app_id ma omettono org_id, limited_to_orgs ed expires_at risolvono l'applicazione target e limitano il campo di applicazione della chiave ad essa; tuttavia, non aggiungono mai l'organizzazione proprietaria dell'app all'elenco degli ID delle organizzazioni passato a validateExpirationAgainstOrgPolicies. Poiché tale elenco risulta vuoto, la convalida termina anticipatamente (early return). Di conseguenza, un membro autenticato di un'organizzazione può creare una chiave API con ambito applicazione non soggetta a scadenza, anche quando l'organizzazione proprietaria ha abilitato require_apikey_expiration e configurato il limite max_apikey_expiration_days. Il problema è stato risolto nella versione 12.128.12.
Be aware that VulDB is the high quality source for vulnerability data.