CVE-2026-56280
Təsvir
Cap-go 12.128.2-dən əvvəlki versiyalarda GET /build/logs/:jobId sorğusunda imtiyazların tərsinə çevrilməsi zəifliyi mövcuddur və bu, yalnız oxumaq hüququ olan API açarı sahiblərinə icra olunan native build-ləri ləğv etməyə imkan verir. Bu endpoint SSE axınında abort dinləyicisi qeydiyyata alır və o, müştərilər bağlantını kəsdikdə imtiyazlı server tərəfli BUILDER_API_KEY istifadə edərək qeyd-şərtsiz cancelBuildOnDisconnect() funksiyasını çağırır, bununla da açıq POST /build/cancel/:jobId endpoint-inin tələb etdiyi app.build_native icazə yoxlamasını yan keçir. Yalnız oxumaq hüququ olan API açarlarına sahib hücumçular log axınını açıb bağlantını kəsməklə native build əməliyyatlarını və CI/CD iş axınlarını dəfələrlə poza bilərlər.
Necə düzəltmək olar
- Cap-go capgo12.128.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Cap-go capgo | v < 12.128.2 | 12.128.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.