CVE-2026-56280
Açıklama
12.128.2 sürümünden önceki Cap-go, GET /build/logs/:jobId uç noktasında, salt okunur API anahtarı sahiplerinin çalışan yerel derlemeleri iptal etmesine olanak tanıyan bir yetki ters çevirme zafiyeti içermektedir. Uç nokta, istemciler bağlantıyı kestiğinde ayrıcalıklı sunucu tarafı BUILDER_API_KEY'ini kullanarak koşulsuz olarak cancelBuildOnDisconnect() fonksiyonunu çağıran bir SSE akış durdurma dinleyicisi kaydeder ve böylece açık POST /build/cancel/:jobId uç noktası için gerekli olan app.build_native izin kontrolünü atlar. Salt okunur API anahtarlarına sahip saldırganlar, günlük akışını açıp bağlantıyı keserek yerel derleme işlemlerini ve CI/CD iş akışlarını defalarca aksatabilirler.
Nasıl düzeltilir
- Cap-go capgo12.128.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Cap-go capgo | v < 12.128.2 | 12.128.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.