FICHE CVE

CVE-2026-56329

Publiée le 2026-07-10 · Dernière modification le 2026-07-10

🇫🇷 EN BREF

Les versions de Capgo antérieures à 12.128.2 sont affectées par une faille dans la manière dont les noms d'hôte de prévisualisation sont analysés, où les tirets bas sont traités comme des points. Un utilisateur enregistré peut exploiter cela en créant un ID d'application avec des tirets bas qui imite l'ID d'un autre client, détournant ou bloquant ainsi l'accès à l'environnement de prévisualisation de la victime. Il s'agit d'une attaque réseau de faible complexité qui ne nécessite qu'un compte utilisateur standard pour être exécutée.

CVSS 4.05.3 MOYENNE

Type de faiblesse

CWE-436

Publiée2026-07-10

Dernière modification2026-07-10

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Faible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Capgo before 12.128.2 contains a cross-tenant preview namespace collision vulnerability caused by non-bijective decoding of double underscores to dots in preview hostname parsing. Attackers can register app IDs with underscores that collide with other tenants' dotted app IDs, causing preview misrouting and denial of preview access for victim applications.