CVE-2026-56231
Açıklama
12.128.2 sürümünden önceki Capgo, POST /build/start/:jobId ve POST /build/cancel/:jobId uç noktalarında hatalı nesne düzeyinde yetkilendirme (BOLA) zafiyeti içermektedir. İşleyiciler, isteği yalnızca istek gövdesinde sağlanan ve saldırgan tarafından kontrol edilen app_id'ye göre yetkilendirir ve sunucuda tutulan builder API anahtarı ile ayrıcalıklı builder komutlarını yürütmeden önce URL'deki jobId'nin söz konusu app_id'ye (veya aynı kiracıya/organizasyona) ait olduğunu hiçbir zaman doğrulamaz. Kontrol ettikleri herhangi bir uygulama için app.build_native iznine sahip kimliği doğrulanmış bir kullanıcı, mağdur bir jobId sağlayarak diğer kiracılara ait rastgele builder işlerini başlatabilir veya iptal edebilir; bu durum kiracılar arası derleme sabotajına (hizmet reddi), yetkisiz hesaplama işlemlerine ve potansiyel faturalandırma etkilerine yol açar.
Nasıl düzeltilir
- Capgo Capgo12.128.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Capgo Capgo | v < 12.128.2 | 12.128.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.