CVE-2026-56280

Nome do Software Vulnerável e Versões Afetadas Cap-go versões anteriores a 12.128.2

Descrição Um problema de inversão de privilégios existe no endpoint 'GET /build/logs/:jobId'. Este endpoint utiliza Eventos Enviados pelo Servidor (SSE) para transmitir a saída e registra um ouvinte de aborto que invoca a função cancelBuildOnDisconnect() usando uma BUILDER API KEY privilegiada do lado do servidor quando o cliente se desconecta. Esse processo ignora a verificação de permissão app.build native normalmente exigida pelo endpoint 'POST /build/cancel/:jobId'. Consequentemente, usuários com chaves de API de apenas leitura podem interromper operações de build nativas e fluxos de trabalho de CI/CD ao abrir repetidamente o fluxo de logs e derrubar a conexão.

Recomendações Atualize para a versão 12.128.2 ou posterior.