🇰🇷 한글 설명
Cap-go 12.128.2 미만 버전의 GET /organization/members 엔드포인트에서 권한 우회 취약점이 발견되었습니다. 조직 제한이 설정된 API 키를 가진 공격자가 지정된 범위를 벗어난 다른 조직의 멤버십 데이터(uid, 이메일, 역할 등)를 읽을 수 있습니다.
💡 쉬운 설명
특정 회사용으로 제한된 열쇠를 가진 사람이 권한을 넘어서 다른 회사의 직원 명단을 몰래 볼 수 있는 문제입니다. 이로 인해 이메일이나 사용자 역할 같은 개인 정보가 유출될 수 있습니다.
🇺🇸 원문 (English)
Cap-go before 12.128.2 contains an authorization bypass vulnerability in the GET /organization/members endpoint that allows org-limited API keys to bypass limited_to_orgs restrictions. Attackers with org-limited API keys can read membership data including uid, email, image_url, role, and is_tmp from organizations outside their assigned scope.
📍 영향받는 시스템
Cap-go version < 12.128.2
⚔️ 공격 벡터
조직 제한이 적용된 API 키를 사용하여 권한 검증을 우회하는 GET 요청 전송
🛡️ 대응 방법
Cap-go를 12.128.2 이상의 최신 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 12.128.2보다 낮으면 취약한 상태이며, 12.128.2 이상이면 안전합니다.
cap-go --version 2>/dev/null | grep -E '12\.(12[8-9]|[1-9][0-9]{2,})'