CVE-2026-56081: Cap-go: falha de autenticação permite controle de conta vinculada a e-mail não verificado

Visão geral

A CVE-2026-56081 afeta o Cap-go em versões anteriores à 12.128.2. Segundo a descrição, o produto permite que uma conta seja registrada com um endereço de e-mail que ainda não foi verificado. Um atacante pode então ativar a autenticação de dois fatores nessa conta pré-registrada, passando a controlá-la enquanto o titular legítimo do e-mail fica sem acesso. A fraqueza é classificada como CWE-640, Mecanismo Fraco de Recuperação de Senha.

Impacto

Segundo a descrição, a exploração bem-sucedida permite ao atacante ler e alterar o estado da conta reivindicada com a identidade da vítima e aplicar políticas em nível de organização. O usuário legítimo é impedido de acessar a conta vinculada ao próprio e-mail. O vetor CVSS 3.1 publicado pela VulnCheck indica vetor de rede, sem necessidade de privilégios, sem interação do usuário e alto impacto em confidencialidade e integridade, sem impacto em disponibilidade. A pontuação CVSS 4.0 publicada pela VulnCheck é 9.3.

Produtos e versões afetadas

A descrição identifica como afetadas as versões do Cap-go anteriores à 12.128.2. Os campos estruturados de produtos afetados e correções do registro estão vazios, portanto este registro não confirma faixas de versão adicionais nem builds corrigidos. Recomenda-se verificar a versão implantada com base no aviso do fornecedor indicado abaixo.

Status de exploração

A CVE não consta como listada no catálogo KEV da CISA no registro analisado. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas. O registro não inclui dados do EPSS.

Correção e mitigação

• Consulte o aviso de segurança do fornecedor, o GitHub advisory GHSA-j4cx-5pw6-5v5j, e o aviso da VulnCheck para orientações de correção.
• Atualize o Cap-go para a versão 12.128.2 ou superior, que a descrição apresenta como limite da faixa afetada.
• Até a correção, verifique se é possível registrar contas com e-mails não verificados e avalie restringir a criação de contas para domínios relevantes à sua organização.
• Audite contas existentes com e-mails da organização em busca de ativações de dois fatores inesperadas ou alterações de titularidade.

Orientação para detecção

• Monitore registros de contas e eventos de ativação de dois fatores em domínios de e-mail corporativos, sobretudo contas criadas antes da verificação do e-mail pelo titular.
• Gere alertas para bloqueios de conta ou chamados de usuários informando que o próprio e-mail já está vinculado a uma conta que não criaram.
• Correlacione os logs do provedor de identidade com os logs da aplicação para identificar contas cujas configurações de segurança mudaram sem uma ação correspondente do titular verificado.

Limitações das informações disponíveis

O registro não lista os produtos afetados de forma estruturada, não fornece uma versão corrigida além do limite indicado na descrição e não inclui dados de EPSS ou SSVC. As condições técnicas exatas da falha são descritas apenas em alto nível nas fontes consultadas, por isso a avaliação de exposição deve se basear no aviso do fornecedor e no inventário interno de versões.

Perguntas frequentes

Qual é a falha central da CVE-2026-56081?

Segundo a descrição, o Cap-go permite registrar uma conta com um e-mail antes de sua verificação. Isso possibilita que outra pessoa reivindique a conta com a identidade da vítima.

Há exploração conhecida desta CVE na natureza?

O registro indica que a CVE não consta como listada no KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

A descrição afirma que as versões anteriores à 12.128.2 são afetadas. O campo estruturado de produtos afetados está vazio, por isso consulte o aviso do fornecedor para confirmar a faixa exata.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.