漏洞概述 漏洞名称: Capgo - Account Merge via Poisoned public.users.email in SSO Provisioning 严重程度: 高 发布日期: 2026年6月19日 CVE编号: CVE-2026-56215 CWE编号: CWE-639 Authorization Bypass Through User-Controlled Key CVSS评分: 8.7 CVSS向量: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:R/VC:H/VA:H/SC:N/SI:N/SA:N 影响范围 受影响版本: Capgo >= 0, < 12.128.12 修复方案 描述: Capgo 在版本 12.128.12 之前允许经过身份验证的用户修改其可变的 为任意地址，SSO 配置端点信任该地址作为账户合并键。攻击者可以预置其账户与受害者的企业 SSO 邮箱，导致 provision-user 端点将受害者的 SSO 身份合并到攻击者控制的账户中。 参考链接 GHSA Advisory: GHSA-wqc6-thet-gqwy 贡献者 Judei777 其他信息 平台: VulnCheck 功能: 漏洞优先级排序、早期预警系统 总结 该漏洞允许攻击者通过修改 来合并受害者的 SSO 身份，从而控制受害者的账户。建议升级到 Capgo 12.128.12 或更高版本以修复此漏洞。