PT-2026-51154 · Cap Go · Cap-Go

Judel777 · Publicado 2026-06-20 · Atualizado 2026-06-20 · CVE-2026-56295

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Capgo versões anteriores a 12.128.2

Descrição Existe uma falha de bypass de autorização nos endpoints de gerenciamento de webhooks. Este problema permite que chaves de API sem expiração ignorem a política organizacional require apikey expiration porque a função checkWebhookPermission() não chama a apikeyHasOrgRightWithPolicy. Consequentemente, atacantes com chaves legadas sem expiração podem listar, criar e excluir webhooks, mesmo quando uma política organizacional exige explicitamente a expiração da chave.

Recomendações Atualize para a versão 12.128.2 ou posterior.

Correção

Improper Authorization

Enumeração de Fraquezas

CWE-285

Identificadores relacionados

CVE-2026-56295

Produtos afetados

Cap-Go

Referências · 6

• https://twitter.com/CVEnew/status/2068380905069072489 · Publicação no Twitter
• https://vulncheck.com/advisories/capgo-policy-enforcement-bypass-in-webhook-management-endpoints-via-non-expiring-api-keys · Nota
• https://github.com/Cap-go/capgo/security/advisories/GHSA-vwpp-cqv5-cmfm · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-56295 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2068382450275819692 · Publicação no Twitter
• https://twitter.com/VulmonFeeds/status/2068429118077632956 · Publicação no Twitter