8.7
CVSS 4.0
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Capgo before 12.128.2 contains an unauthenticated security definer RPC function get_identity_apikey_only that returns the owning user_id for supplied API keys, creating an API key validity oracle and user identity disclosure primitive. Attackers can call this endpoint with valid or invalid API keys to confirm key validity and map keys to user identifiers, then chain results into other exposed RPCs like get_orgs_v6 to retrieve organization membership and management email PII.
Засегнати продукти
- Capgo Capgo: преди 12.128.2; 12.128.2
Вид слабост
История
- 21 юни 2026 Публикувано
Други уязвимости в Capgo Capgo
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2026-56242
- https://nvd.nist.gov/vuln/detail/CVE-2026-56242
- https://github.com/Cap-go/capgo/security/advisories/GHSA-fhgj-7376-qxwx
- https://www.vulncheck.com/advisories/capgo-unauthenticated-api-key-validity-oracle-and-user-identity-disclosure-via-get-identity-apikey-only-rpc