CVE-2026-100613 in Capgo.app
Zusammenfassung
von VulDB • 26.09.2026
capgo.app ist eine Over-the-Air-(OTA)-Updateplattform für Capacitor-Apps. In allen Versionen bis einschließlich der aktuellen Veröffentlichung (zum Zeitpunkt der Publikation war kein Patch verfügbar) überträgt die Datenbankfunktion `transfer_app()` eine App, ihre Kanäle, Versionen und zugehörigen Datensätze in eine Zielorganisation, ohne bestehende Zeilen in `channel_permission_overrides` zu löschen oder neu zu validieren. Infolgedessen behält ein Benutzer, der während seiner Mitgliedschaft in der Quellorganisation berechtigt war, einen Kanal-Berechtigungs-Override (channel permission override) nach der Übertragung bei, obwohl er weder eine Mitgliedschaft noch eine RBAC-Zuordnung (Role-Based Access Control Binding) in der Zielorganisation hat. Ein ehemaliges Mitglied kann mit seinem eigenen authentifizierten JWT gegen die PostgREST-API den von der Zielorganisation besitzten Kanal so ändern, dass er auf ein anderes Bundle verweist, wodurch über den /updates-Endpunkt eine vom Angreifer ausgewählte App-Version an Geräte ausgeliefert wird. Der zuvor vorgeschlagene Fix für GHSA-626c-p6fq-3whq (PR #3093), der die Organisationsmitgliedschaft bei der Erstellung oder Aktualisierung eines Overrides validiert, entfernt keine Overrides, die infolge einer App-Übertragung veraltet geworden sind.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.