Zerlyer

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Existe um controle de acesso quebrado na API de gerenciamento de organizações. Uma chave de API com escopo utilizando `limited to orgs` herda as permissões do usuário proprietário, permitindo ações destrutivas entre diferentes organizações. Isso ocorre quando um usuário com privilégios administrativos em múltiplas organizações cria uma chave de API em modo de escrita restrita a uma única organização; a chave ainda pode executar operações destrutivas contra outras organizações. O problema originou-se na função de autorização de nível de rota `rbac check permission direct()`, que prioriza os privilégios do usuário proprietário em vez do escopo `limited to orgs` da chave de API. Os endpoints de API afetados incluem 'DELETE /organization' e 'DELETE /organization/members'. **Recommendations** Atualizar para a versão 12.128.2.

**Nome do Software Vulnerável e Versões Afetadas** Capgo versões anteriores a 12.128.2 **Description** Existe uma falha de bypass de autorização no endpoint 'POST /private/role bindings'. O sistema falha ao verificar a propriedade do `app id` durante a criação de vinculações de função (role bindings) com escopo de aplicativo. Isso permite que um invasor com privilégios administrativos em uma organização crie vinculações de função direcionadas a aplicativos de outras organizações, permitindo a leitura e modificação não autorizada desses aplicativos. **Recommendations** Atualize para a versão 12.128.2 ou posterior. Como medida paliativa temporária, restrinja o acesso ao endpoint 'POST /private/role bindings' para minimizar o risco de exploração.