CVE-2026-56247— Capgo 通过跨范围RBAC角色分配实现权限提升漏洞
获取后续新漏洞提醒登录后订阅
一、 漏洞 CVE-2026-56247 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗ 尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Capgo - Privilege Escalation via Cross-Scope RBAC Role Assignment
来源: 美国国家漏洞数据库 NVD
Vulnerability Description
Capgo before 12.128.2 allows org admins to assign org-scoped RBAC roles at app scope without validating role scope compatibility, including to pending invitees. Attackers can pre-seed malformed high-privilege bindings that survive invite acceptance, enabling accepted low-privilege users to perform unauthorized privileged app actions.
来源: 美国国家漏洞数据库 NVD
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
来源: 美国国家漏洞数据库 NVD
Vulnerability Type
特权授予不正确
来源: 美国国家漏洞数据库 NVD
受影响产品
二、漏洞 CVE-2026-56247 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-56247 的情报信息
请登录查看更多情报信息。
CVE-2026-56247 厂商安全公告 (1)
CVE-2026-56247 其他参考 (1)
同批安全公告 · Capgo · 2026-06-30 · 共 15 条
| CVE-2026-56230 | 8.8 HIGH | Capgo x-limited-key-id 头绕过对象级权限验证漏洞 |
| CVE-2026-56233 | 8.3 HIGH | Capgo 构建器上传代理路径遍历导致的SSRF及权限提升漏洞 |
| CVE-2026-56286 | 8.1 HIGH | Capgo 无需密码确认即可删除账户漏洞 |
| CVE-2026-56249 | 7.6 HIGH | Capgo POST /channel 未授权渠道覆盖及所有权接管漏洞 |
| CVE-2026-56219 | 7.5 HIGH | Capgo NULL认证绕过导致RBAC绑定与邮箱泄露漏洞 |
| CVE-2026-56300 | 7.5 HIGH | Capgo RPC功能存在未授权API密钥有效性及权限漏洞 |
| CVE-2026-56320 | 7.1 HIGH | Capgo设备创建接口组织/应用作用域不匹配漏洞 |
| CVE-2026-56328 | 6.5 MEDIUM | Capgo 发行路由完整性漏洞 |
| CVE-2026-56224 | 5.4 MEDIUM | Capgo 登录CSRF与会话固定漏洞 |
| CVE-2026-56331 | 5.3 MEDIUM | Capgo 接受邀请端点错误处理不当漏洞 |
| CVE-2026-56327 | 5.3 MEDIUM | Capgo 未授权组织存在性泄露漏洞 |
| CVE-2026-56318 | 5.3 MEDIUM | Capgo 私有验证密码合规接口信息泄露漏洞 |
| CVE-2026-56333 | 4.3 MEDIUM | Capgo 通过浏览器端直接更新安全设置绕过服务端验证 |
| CVE-2026-56334 | 4.3 MEDIUM | Capgo 构建状态持久化缺失更新 RLS 策略漏洞 |
IV. Related Vulnerabilities
V. Comments for CVE-2026-56247
暂无评论