CVE-2026-100620
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
Capgo CLI (pakiet npm @capgo/cli) do wersji 7.98.2 ma wpływ na konto usługi z nadmiernymi uprawnieniami w procesie wdrażania systemu Android. Podczas dołączania za pośrednictwem Google OAuth interfejs wiersza polecenia zaprasza wygenerowane konto usługi Google Play z uprawnieniem Konsoli Play obejmującym całe konto CAN_MANAGE_DRAFT_APPS_GLOBAL (przekazywanym jako developerAccountPermissions w żądaniu utworzenia użytkownika interfejsu API Android Publisher), mimo że przepływ skierowany do użytkownika stwierdza, że konto usługi jest zapraszane do jednej potwierdzonej aplikacji z uprawnieniami dotyczącymi tylko wersji. W rezultacie każdy, kto uzyska wygenerowany klucz konta usługi (PLAY_CONFIG_JSON), może tworzyć, edytować i usuwać wersje robocze aplikacji na całym koncie programisty Google Play, zamiast ograniczać się do wybranego pakietu. W momencie publikacji nie była dostępna żadna poprawiona wersja.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org