CVE-2026-100627

Nome do Software Vulnerável e Versões Afetadas Capgo (Cap-go/capgo.app) server backend (versões afetadas não especificadas)

Descrição Uma falha de autorização incorreta existe no caminho de promoção de pacotes de chave de API. O endpoint 'PUT /bundle', acessível a chaves de API de leitura e gravação, utiliza a função setChannel(). Esta função realiza a autorização via checkPermission(c, 'channel.promote bundle', { appId: body.app id }), mas omite o channel id da requisição. Consequentemente, o campo de escopo é passado como SQL NULL para rbac check permission direct(), o que impede a avaliação de sobreposições de permissão (permitir/negar) por canal. Usuários com permissões de nível de aplicativo channel.promote bundle, como aqueles nas funções app developer e app uploader, podem promover um pacote para um canal mesmo que exista uma sobreposição de negação explícita por canal, permitindo a atualização de public.channels.version para o channel id fornecido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.