CVE-2026-100626

Nome do Software Vulnerável e Versões Afetadas capgo versões anteriores a 12.128.3

Description Ocorre uma referência direta a objeto insegura no endpoint 'PUT /app/:appId', que aceita caminhos de armazenamento de ícones controlados por atacantes. Usuários autenticados podem fornecer caminhos arbitrários no bucket de imagens privadas para obter URLs assinadas por função de serviço válidas por 7 dias. Isso permite a leitura não autorizada de objetos de outros locatários, como avatares de usuários, logotipos de organizações e ícones de aplicativos.

Recommendations Atualize o capgo para a versão 12.128.3 ou posterior. Restrinja o acesso ao endpoint 'PUT /app/:appId' para minimizar o risco de exploração.