CVE-2026-56229
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 — wyżej niż 12% wszystkich znanych CVE
Streszczenie
Capgo w wersjach przed 12.128.2 zawiera lukę w autoryzacji w punktach końcowych /build/status i /build/logs, która pozwala atakującym na dostęp do zadań budowy należących do różnych aplikacji poprzez podanie niezgodnej kombinacji app_id i job_id.
Ocena ryzyka
Luka ta umożliwia dostęp do wrażliwych informacji o budowie, w tym logów, metadanych oraz potencjalnie poświadczeń, co może prowadzić do poważnych naruszeń bezpieczeństwa w organizacji.
Rekomendacja
Zaleca się aktualizację Capgo do wersji 12.128.2 lub nowszej oraz przegląd i wzmocnienie polityki zarządzania kluczami API, aby ograniczyć dostęp do wrażliwych danych.
Oryginalny opis (angielski, źródło NVD)
Capgo before 12.128.2 contains an authorization bypass vulnerability in the /build/status and /build/logs endpoints that allows attackers to access build jobs belonging to different applications by supplying a mismatched app_id and job_id combination. Limited API keys restricted to a single app can retrieve build status and logs from other apps by providing an authorized app_id while using a job_id from an unauthorized app, exposing sensitive build information including logs, metadata, and potentially credentials.