🟠 CVE-2026-56231: High Schwachstelle

„`html

Zusammenfassung

Capgo in Versionen vor 12.128.2 weist eine kritische Broken Object Level Authorization (BOLA) Schwachstelle auf. Die betroffenen Endpunkte POST /build/start/:jobId und POST /build/cancel/:jobId führen keine ordnungsgemäße Autorisierungsprüfung durch. Ein authentifizierter Angreifer kann dadurch beliebige Builder-Jobs von anderen Tenants manipulieren.

Betroffene Systeme

Capgo Versionen vor 12.128.2. Die Schwachstelle betrifft alle Installationen, die die genannten API-Endpunkte exponieren und der Autorisierungsprüfung unterliegen.

Technische Details

Sicherheitslücke: Die vulnerablen Endpunkte autorisieren Anfragen ausschließlich basierend auf der im Request-Body übergebenen app_id. Eine Validierung, ob die jobId in der URL tatsächlich zur angegebenen app_id gehört oder zum gleichen Tenant/Organisation gehört, erfolgt nicht. Der Server nutzt zur Ausführung von Builder-Kommandos einen hardcodierten API-Schlüssel.

Angriffsvektor: Ein authentifizierter Benutzer mit app.build_native Berechtigung für beliebige kontrollierte Apps kann gezielt fremde jobIds in die URL einschleusen. Der Server führt daraufhin privilegierte Builder-Operationen mit seinen eigenen Credentials aus.

Impact: Cross-Tenant Build-Sabotage (Denial of Service), unbefugte Compute-Operationen und potenzielle Abrechnungsmanipulation.

Empfohlene Massnahmen

• Sofortige Aktualisierung auf Capgo 12.128.2 oder höher
• Überprüfung von Build-Logs auf verdächtige Aktivitäten
• Prüfung der Abrechnungsdaten auf unautorisierte Compute-Operationen
• Implementierung von Multi-Tenant-Validierung bei allen jobId-Operationen
• Monitoring der genannten Endpunkte aktivieren

Bewertung

CVSS Score: 7.6 (High) | Vektor: Network | Authentifizierung erforderlich: Ja | Patch verfügbar: Nein

Die Schwachstelle erfordert sofortige Aufmerksamkeit aufgrund des Cross-Tenant-Risikos und der administrativen Auswirkungen auf Build-Prozesse.

„`