PT-2026-99291 · Unknown · @Capgo/Cli

CVE-2026-100620

·

Publicado

2026-09-26

·

Atualizado

2026-09-28

CVSS v4.0

5.1

Média

VetorAV:N/AC:L/AT:N/PR:H/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas Capgo CLI versões anteriores a 7.98.3
Descrição O fluxo de integração do Android contém uma conta de serviço com permissões excessivas. Durante a integração via Google OAuth, a CLI atribui a permissão CAN MANAGE DRAFT APPS GLOBAL (passada através do parâmetro developerAccountPermissions na requisição de criação de usuário da API Android Publisher) à conta de serviço do Google Play gerada. Isso contradiz o fluxo apresentado ao usuário, que indica que a conta é limitada a um único aplicativo com permissões apenas de lançamento. Consequentemente, qualquer pessoa que possua a chave da conta de serviço PLAY CONFIG JSON pode criar, editar e excluir aplicativos em rascunho em toda a conta de desenvolvedor do Google Play.
Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

Exploit

Improper Privilege Management

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-269

Identificadores relacionados

CVE-2026-100620
GHSA-WF94-285X-4CGJ

Produtos afetados

@Capgo/Cli