Към съдържанието
Търсене

CVE-2026-100614: Cap-go capgo.app, заобикаляне на вход и права

8.8

CVSS 3.1

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, с обикновен потребителски вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката не може да се автоматизира

Описание

Оригинално описание

Capgo before 12.244.1 contains a cross-tenant integrity vulnerability in the metadata-cleaning worker that trusts image object keys from mutable database rows without validating ownership. An authenticated attacker can place a victim tenant's image key in a row they control, causing the service-role worker to download and re-upload that object with sanitized metadata. Attackers can silently modify metadata in cross-tenant image objects by supplying known victim keys during authorized row updates, bypassing storage access controls through the confused-deputy metadata worker.

Засегнати продукти

  • Cap-go capgo.app: преди 12.244.1; 12.244.1

Вид слабост

История

  • 26 септември 2026 Публикувано

Други уязвимости в Cap-go capgo.app

Първоизточници

CVE-2026-100614: Cap-go capgo.app, заобикаляне на вход и права | freedomonline.bg