PT-2026-57429 · Postgresql Global Development Group+1 · Postgresql+1

Judel777 · Publicado 2026-07-11 · Atualizado 2026-07-11 · CVE-2026-56303

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.7

Alta

Vetor base

AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas Capgo versões anteriores a 12.128.2

Description Um problema de divulgação de informações existe na função PostgreSQL find apikey by value(). Esta função é marcada como SECURITY DEFINER, o que permite que ela seja executada com os privilégios do usuário que a criou, e é executável pela função anon. Atacantes não autenticados podem acessar o endpoint '/rest/v1/rpc/find apikey by value' para recuperar metadados sensíveis de chaves de API, como user id, mode, escopo da organização e detalhes de expiração, ao fornecer um valor de chave válido.

Recommendations Atualize para a versão 12.128.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/rest/v1/rpc/find apikey by value'.

Exploit

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

CVE-2026-56303

GHSA-2XJQ-H43M-592F

Produtos afetados

Cap-Go

Postgresql

Referências · 7

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/56xxx/CVE-2026-56303.json · Exploit
• https://github.com/Cap-go/capgo/security/advisories/GHSA-2xjq-h43m-592f · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2076040500935623103 · Publicação no Twitter
• https://vulncheck.com/advisories/capgo-unauthenticated-api-key-metadata-disclosure-via-security-definer-rpc-function · Nota
• https://osv.dev/vulnerability/CVE-2026-56303 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-56303 · Nota de Segurança
• https://twitter.com/infoflowcloud/status/2076042838526095531 · Publicação no Twitter