Contournement d'authentification dans @capgo/capacitor-native-biometric (CVE-2026-56294)
Résumé
Contournement d'authentification dans @capgo/capacitor-native-biometric (CVE-2026-56294). Des informations confidentielles peuvent être exposées. Exploitable via CryptoObject. Atténuation : mise à jour vers 8.3.6 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
There is a potential issue with the cap-go/capacitor-native-biometric library.
Summary
The cap-go/capacitor-native-biometric library was found to be subject to an authentication bypass as the current implementation of the onAuthenticationSucceeded() does not appear to handle a CryptoObject[^HackTricks1] [^SecuringBiometricAuthentication] as seen in the following code block starting from line 88 in AuthActivity.java:
@Override
public void onAuthenticationSucceeded(
@NonNull BiometricPrompt.AuthenticationResult result
) {
super.onAuthenticationSucceeded(result);
finishActivity("success");
}
As the current implementation only checks whether onAuthenticationSucceeded() was called and does not handle a CryptoObject the biometric authentication can be bypassed by hooking the onAuthenticationSucceeded() function.
PoC Video:
https://github.com/user-attachments/assets/b7b5a2bc-21dc-4373-b371-84b002dae7a7
Environment:
The following steps were taken to create and deploy a Capacitor application using the cap-go/capacitor-native-biometric library for the purpose of verifying this finding. Note at the time of writing the npx create-react-app command broke, so I have pr…
Source: NIST National Vulnerability Database NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-56294 a été découverte dans @capgo/capacitor-native-biometric.
Des attaquants peuvent cibler un point d'entrée spécifique comme CryptoObject à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 4.8/10.
Action : mettez à jour @capgo/capacitor-native-biometric vers 8.3.6 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « @capgo/capacitor-native-biometric CVE-2026-56294 » sur le site de l'éditeur.
CVE-2026-56294 (@capgo/capacitor-native-biometric) — CWE-287 / CVSS v3 4.8
Vecteur d'attaque : physique / non authentifié / sans interaction utilisateur
Surface d'attaque : CryptoObject / com.capgo.poc / App.tsx
Correctif : 8.3.6 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une contournement d'authentification (CWE-287) affecte @capgo/capacitor-native-biometric. Les attaquants atteignent le code vulnérable via CryptoObject sans authentification.
Consultez l'avis de l'éditeur pour les versions affectées de @capgo/capacitor-native-biometric. Surface d'attaque : CryptoObject / com.capgo.poc / App.tsx.
Gravité : Moyenne (CVSS 4.8/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 8.3.6.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r '@capgo/capacitor-native-biometric' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
@capgo/capacitor-native-biometricを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade @capgo/capacitor-native-biometric to 8.3.6ステージング環境で 8.3.6 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web disclosure@vulncheck.com
- web nvd.nist.gov
- web github.com
- web github.com