FICHE CVE

CVE-2026-56328

Publiée le 2026-06-30 · Dernière modification le 2026-07-01

🇫🇷 EN BREF

Les versions de Capgo antérieures à la 12.128.2 sont affectées par une faille dans la gestion des canaux de mise à jour pour une même application et plateforme. Un attaquant disposant d'identifiants autorisés de gestionnaire d'application ou de canal peut créer des chemins de mise à jour conflictuels pour rediriger silencieusement les clients vers un bundle logiciel spécifique, contournant ainsi le routage des versions prévu. Cette opération peut être exécutée via le réseau sans aucune interaction de l'utilisateur.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-670

Publiée2026-06-30

Dernière modification2026-07-01

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Capgo before 12.128.2 allows multiple public channels for the same app and platform to coexist simultaneously, while unnamed /updates requests without defaultChannel implicitly resolve to a single hidden winner channel. An authorized app or channel manager can create ambiguous default update state and silently influence which bundle unnamed clients receive, breaking release routing integrity and predictability.