FICHE CVE

CVE-2026-56307

Publiée le 2026-06-20 · Dernière modification le 2026-10-25

🇫🇷 EN BREF

Les versions de Cap-go antérieures à la 12.128.12 sont affectées par une faille dans la manière dont le point de terminaison `/private/devices` gère la pagination. Un utilisateur authentifié disposant de permissions de lecture des appareils peut envoyer une requête spécifique via le réseau pour déclencher une boucle infinie, bloquant ainsi l'accès aux enregistrements suivants du jeu de données. Comme cela ne nécessite qu'un accès basique au compte et aucune interaction particulière de l'utilisateur, l'exécution est relativement simple pour tout utilisateur possédant les permissions nécessaires.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-670

Publiée2026-06-20

Dernière modification2026-10-25

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Cap-go before 12.128.12 contains a broken cursor pagination vulnerability in the /private/devices endpoint on the Cloudflare/workerd path that allows authenticated attackers to cause duplicate-page loops and make later rows unreachable. Attackers with app.read_devices access can exploit non-advancing cursor filters to trigger infinite pagination loops, prevent dataset traversal, and cause repeated processing in device-management workflows.