CVE-2026-88863 in capgo.app
الملخص
بحسب VulDB • 10/09/2026
لا تقارن capgo.app (حزمة npm `capgo`) حتى الإصدار 12.207.1 رتبة دور المُدعى عليه بالدور المطلوب في دالة validateInvite() الموجودة داخل supabase/functions/_backend/private/invite_new_user_to_org.ts. يتطلب نقطة النهاية POST /private/invite_new_user_to_org فقط إذن org.update_user_roles لدعوات org_super_admin، لذا يمكن لمستخدم مُصادق يحمل فقط إذن org.invite_user (مثل عضو المنظمة) دعوة مستخدم خارجي كـ org_admin أو org_billing_admin. عند قبول الحساب المدعو للدعوة عبر نقطة النهاية POST /private/accept_invitation، تنشئ دالة ensureOrgMembership ارتباط الدور باستخدام مفتاح service-role الخاص بـ Supabase، مما يتجاوز مشغلات قاعدة البيانات prevent_role_binding_priority_escalation و check_org_user_privileges. وهذا يسمح بتصعيد الامتيازات يؤدي إلى السيطرة الإدارية الكاملة على تطبيقات المنظمة وقنواتها وأعضائها وفوترتها. تم معالجة المشكلة عبر طلب السحب (pull request) رقم #3096، الذي يقارن رتبة المُدعو قبل السماح بالدعوات ذات الصلاحيات الأعلى.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.