CVE-2026-100629

Nome do Software Vulnerável e Versões Afetadas Capgo (capgo.app backend) versões anteriores a 12.127.5

Description Uma falha de autorização existe no endpoint 'PATCH /private/role bindings/:binding id'. O manipulador verifica se a classificação de prioridade de uma função recém-atribuída não excede a classificação do chamador, mas não verifica a classificação da função atualmente vinculada ao vínculo de destino. Isso permite que um usuário autenticado com a função org admin (classificação 90) altere um vínculo org super admin (classificação 95) para uma função de menor privilégio, como org member (classificação 75). Como o gatilho de banco de dados prevent last super admin binding delete é executado apenas antes de uma operação de exclusão e não durante uma atualização, um org admin pode rebaixar todos os usuários org super admin, deixando potencialmente a organização sem um super administrador.

Recommendations Atualizar para a versão 12.127.5.