PT-2026-51157 · Cap Go · Cap-Go

Judel777 · Publicado 2026-06-20 · Atualizado 2026-06-20 · CVE-2026-56319

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Capgo versões anteriores a 12.128.2

Descrição Um problema de divulgação de informações existe no endpoint 'GET /statistics/app/:app id'. Isso permite que usuários com chaves de API limitadas por aplicativo identifiquem IDs de aplicativos irmãos existentes através da análise de respostas de erro diferenciais. Especificamente, invasores podem enumerar IDs de aplicativos válidos fora de seu escopo autorizado, distinguindo entre erros 500 PGRST116, que ocorrem para aplicativos inacessíveis, e erros 401, que ocorrem para aplicativos inexistentes, comprometendo assim o isolamento de locatários (tenant isolation).

Recomendações Atualizar para a versão 12.128.2. Restringir o acesso ao endpoint 'GET /statistics/app/:app id' ou ao parâmetro app id para minimizar o risco de enumeração.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

Identificadores relacionados

CVE-2026-56319

Produtos afetados

Cap-Go

Referências · 6

• https://nvd.nist.gov/vuln/detail/CVE-2026-56319 · Nota de Segurança
• https://github.com/Cap-go/capgo/security/advisories/GHSA-73p9-mprg-7r75 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/2068421438055362894 · Publicação no Twitter
• https://twitter.com/infoflowcloud/status/2068382410803220550 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2068380900899873229 · Publicação no Twitter
• https://vulncheck.com/advisories/capgo-app-existence-oracle-via-get-statistics-app-app-id · Nota