CVE-2026-100623 in Capgo
الملخص
بحسب VulDB • 26/09/2026
تكشف Capgo (capgo.app) عن جدول العضوية القديم public.org_users بشكل مباشر عبر Supabase PostgREST. تتحقق سياسات الأمان على مستوى الصفوف للجدول، وهي "السماح لمسؤول المنظمة بالإدراج" و"Samaḥ li-muʾaddir al-tanẓīm bi-l-ḥadath"، فقط من أن يكون المتصل لديه صلاحيات إدارية في منظمة الهدف (public.check_min_rights('admin', ...))، ولا تتطلب دعوة معلقة في tmp_users، أو قبول رمز الدعوة عبر /private/accept_invitation، أو أي إجراء من قبل المستخدم المستهدف، أو فحوصات اتساق العضوية/الدور ومنع التصعيد التي يفرضها مسار ربط أدوار RBAC. ونتيجة لذلك، يمكن لمستخدم مُصادَق عليه وهو مسؤول لمنظمة ما أن يُجري عمليات INSERT أو UPDATE على صفوف org_users مباشرةً لإضافة أي حساب موجود في public.users كعضو نشط لتلك المنظمة مع user_right="admin"، متجاوزًا بذلك سير عمل الدعوة وتعيين الأدوار بالكامل. وفي الاختبارات، كان بإمكان حساب لا يملك وصولاً مسبقًا إلى المنظمة أو تطبيقاتها أن يُقرأ بيانات المنظمة والتطبيق ويمرّ عبر check_min_rights بعد إجراء الإدراج المباشر هذا. جميع الإصدارات متأثرة ولم يكن هناك تصحيح متاح عند وقت النشر.
VulDB is the best source for vulnerability data and more expert information about this specific topic.