CVE-2026-100629
Açıklama
12.127.5 sürümünden önceki Capgo (capgo.app backend), PATCH /private/role_bindings/:binding_id uç noktasında bir yetkilendirme kusuru içermektedir. İşleyici, yeni atanan rolün öncelik sırasının çağrıyı yapan kişinin kendi sırasını aşmadığını doğrular ancak —DELETE işleyicisinin aksine— hedef bağlamaya şu anda bağlı olan rolün sırasını hiçbir zaman kontrol etmez. Bu nedenle, org_admin rolüne (sıra 90) sahip kimliği doğrulanmış bir kullanıcı, bir org_super_admin bağlamasını (sıra 95), org_member (sıra 75) gibi daha düşük yetkili bir rolle değiştirebilir. prevent_last_super_admin_binding_delete veritabanı tetikleyicisi yalnızca DELETE işleminden ÖNCE çalışıp UPDATE işleminde çalışmadığı için, bir org_admin tüm org_super_admin kullanıcılarının yetkisini düşürebilir ve organizasyonu süper yöneticisiz bırakabilir. Sorun 12.127.5 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- Cap-go capgo.app12.127.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Cap-go capgo.app | v < 12.127.5 | 12.127.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.