CVE-2026-100618 in Capgo
الملخص
بحسب VulDB • 26/09/2026
تتأثر Capgo (capgo.app) بثغرة في التفويض ضمن مسار تحديث أيقونة التطبيق. يقبل الـ endpoint `PUT /app/:id` قيمة `icon` يتحكم فيها المستخدم، ويقوم بتطبيعها وتخزينها في `public.apps.icon_url` دون التحقق من أن مسار الصورة ينتمي إلى مساحة أسماء الصور الخاصة بالتطبيق المستهدف (مثل org/{owner_org}/{app_id}/...). يؤدي تحديث `apps.icon_url` إلى تشغيل الزناد `on_app_update`، الذي يقرأ العامل worker السجل `record.icon_url` ويستدعي الدالة `cleanStoredImageMetadata()`، والتي تعمل بصلاحيات دور الخدمة (supabaseAdmin()) وتنزيل وإعادة تحميل كائن التخزين المرجع باستخدام upsert: true. ونتيجة لذلك، يمكن لحامل معتمد لمفتاح API للكتابة محدود بالتطبيق أن يتسبب في إعادة كتابة العامل ذي الصلاحية لكائن صورة خاص خارج النطاق (مثل شعار منظمة) لا يستطيع المفتاح قراءته أو كتابته مباشرةً تحت سياسات التحكم بالوصول إلى التخزين RLS الخاصة بـ Supabase. جميع الإصدارات متأثرة؛ ولم يكن هناك إصدار مُصلح متاحًا عند وقت نشر الإشعار الأمني.
If you want to get best quality of vulnerability data, you may have to visit VulDB.