Dcr6174

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.244.1 **Description** Um problema de integridade entre locatários (cross-tenant) existe no worker de limpeza de metadados. O worker confia em chaves de objetos de imagem de linhas de banco de dados mutáveis sem validar a propriedade, atuando como um confused deputy (deputado confuso). Um invasor autenticado pode inserir a chave de imagem de um locatário vítima em uma linha que ele controla. Isso faz com que o worker de função de serviço baixe e envie novamente o objeto com metadados sanitizados, permitindo que o invasor modifique silenciosamente metadados em objetos de imagem de outros locatários e ignore os controles de acesso ao armazenamento durante atualizações de linha autorizadas. **Recommendations** Atualize o Capgo para a versão 12.244.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** capgo.app versões anteriores a 12.267.1 **Descrição** A validação insuficiente de privilégios de chave de API durante o processo de rotação permite que um usuário com a função `apikey manager` rotacione uma chave irmã pertencente a um `org super admin` com privilégios mais elevados. Ao utilizar o endpoint PUT, um invasor pode enumerar chaves de API com o mesmo proprietário e rotacionar uma chave irmã mais poderosa para recuperar sua credencial em texto simples, permitindo a autenticação como o principal de privilégios superiores. **Recomendações** Atualize o capgo.app para a versão 12.267.1 ou posterior.