CVE-2026-100611

Capgo (capgo.app backend, versiyonlar ≤ 12.261.0), apikey_manager organizasyon rolünün yeni oluşturulan API anahtarlarına hangi rolleri bağlayabileceğini uygun şekilde kısıtlamamaktadır. Yalnızca apikey_manager (org.manage_apikeys ve org.read izinleri) yetkisine sahip kimliği doğrulanmış bir kullanıcı, bir JWT oturumu ile POST /apikey isteği gönderdiğinde uygulanan tek kontroller; org.manage_apikeys izni, atanabilir rol adlarının sabit bir engelleme listesi (public/apikey/scope.ts içinde APIKEY_MANAGER_DENIED_ASSIGNABLE_ROLES) ve createRoleBindingForPrincipal (private/role_bindings.ts) içindeki bir öncelik sıralaması karşılaştırmasıdır. Çağrıyı yapan kişinin, atanan rol tarafından verilen izinlere gerçekten sahip olup olmadığını doğrulayan herhangi bir kontrol bulunmamaktadır. Engelleme listesinde app_developer, app_uploader, channel_developer ve channel_uploader dağıtım rollerinin yer almaması ve apikey_manager rolünün bu rollerin sıralamalarından (68, 66, 58, 57) daha yüksek olan 78 priority_rank değeriyle tanımlanmış olması nedeniyle, sıralama kontrolü de başarıyla geçilmektedir. Sonuç olarak, bundle yükleyemeyen veya kanalları yükseltemeyen bir apikey_manager, bir dağıtım rolüne bağlı bir API anahtarı oluşturabilir ve bunu organizasyon uygulamalarının tüm son kullanıcılarına rastgele OTA JavaScript güncellemeleri göndermek için kullanabilir. Güvenlik duyurusu yayınlandığı sırada yamalanmış bir sürüm mevcut değildi.