„`html
Zusammenfassung
Die Schwachstelle CVE-2026-56246 ist eine kritische Sicherheitslücke in Capgo vor Version 12.128.2, die eine fehlerhafte Zugriffskontrolle in der Organization Management API aufweist. Durch diese Lücke können Benutzer mit Admin-Rechten in mehreren Organisationen mittels limitierter API-Keys (limited_to_orgs) destruktive Operationen über Organisationsgrenzen hinweg durchführen.
Betroffene Systeme
Betroffen sind alle Capgo-Installationen in Versionen vor 12.128.2. Organisationen, die die API-Key-Funktionalität für Cross-Organization-Management nutzen, tragen ein erhöhtes Risiko. Besonders gefährdet sind Umgebungen mit mehreren verwalteten Organisationen und scoped API-Keys mit Write-Permissions.
Technische Details
Das Kernproblem liegt in der fehlerhaften Route-Level-Autorisierung durch die Funktion rbac_check_permission_direct. Diese validiert zunächst die Berechtigungen des API-Key-Owners basierend auf dessen User-Privileg-Status, statt die limited_to_orgs-Einschränkung des Keys priorisiert zu evaluieren.
Ein Angreifer kann diese Schwachstelle wie folgt ausnutzen: Ein Benutzer mit Admin-Status in zwei Organisationen erstellt einen API-Key mit Write-Mode, der eigentlich nur auf eine Organisation limitiert sein soll (limited_to_orgs=OrgA). Dieser Key kann jedoch noch immer DELETE-Operationen gegen OrgB ausfĂĽhren, beispielsweise DELETE /organization oder DELETE /organization/members.
Der fehlende Scope-Check ermöglicht es, dass Berechtigungen des Key-Owners nicht korrekt isoliert werden, was zu einer Privilege-Escalation über Organisationsgrenzen hinweg führt.
Empfohlene Massnahmen
Sofortmassnahmen: Überprüfen Sie alle scoped API-Keys in Ihrer Umgebung. Deaktivieren Sie temporär Keys mit limited_to_orgs-Scope, falls möglich. Limitieren Sie Admin-Zugriff auf Benutzer mit echtem administrativem Bedarf. Implementieren Sie Logging für API-Key-Aktivitäten.
Langfristige Lösung: Führen Sie ein Upgrade auf Capgo 12.128.2 oder höher durch, sobald verfügbar. Validieren Sie nach dem Update alle API-Key-Permissions neu.
Bewertung
CVSS-Score: 8.1 (High)
Angriffsvektor: Network
Authentifizierung erforderlich: Ja (gĂĽltige API-Keys)
VerfĂĽgbarkeit des Patches: Ausstehend
Diese Schwachstelle erfordert sofortige Aufmerksamkeit, da sie zu unbefugtem Löschen von Organisationsdaten führen kann.
„`