FICHE CVE

CVE-2026-53867

Publiée le 2026-06-12 · Dernière modification le 2026-07-23

🇫🇷 EN BREF

Les installations de Capgo antérieures à la version 12.128.2 ne parviennent pas à supprimer définitivement les anciennes images de profil du stockage backend lorsqu'un utilisateur les remplace ou les supprime. Un attaquant authentifié disposant d'un accès réseau peut récupérer ces images orphelines s'il possède les URL d'origine des fichiers. Étant donné que l'exploitation nécessite un compte valide et le lien spécifique vers l'image, le risque est modéré.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-459

Publiée2026-06-12

Dernière modification2026-07-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Capgo before 12.128.2 fails to delete previously uploaded profile images from backend storage when users replace or remove them. Attackers can access orphaned image files through previously generated URLs, allowing unauthorized retrieval of user-uploaded content.