CVE-2026-100616 in capgo.app
Zusammenfassung
von VulDB • 26.09.2026
capgo.app ist eine Over-the-Air-Updateplattform für Capacitor-Anwendungen. In allen Versionen vor der Behebung des Fehlers erlaubt die row-level security (RLS)-UPDATE-Richtlinie auf der öffentlichen Tabelle `orgs` einem Organisationsadministrator (ein Benutzer mit der Berechtigung `org.update_settings`), die gesamte Zeile zu aktualisieren, einschließlich der internen Abrechnungszeigerspalte `customer_id`. Der offizielle Endpunkt zur Aktualisierung von Organisationen (`supabase/functions/_backend/public/organization/put.ts`) listet nur eine kleine Menge bearbeitbarer Einstellungsfelder explizit auf und schließt `customer_id` aus; zudem erfordert die private Stripe-Abrechnungsroute separat die Berechtigung `org.update_billing`. Durch das Senden eines direkten Updates an Supabase PostgREST kann ein authentifizierter Organisationsadministrator ohne die Berechtigung `org.update_billing` den Stripe-Kundenzeiger der Organisation auf NULL setzen oder korruptieren, wodurch Plan- und Abrechnungsprüfungen, die sich auf `orgs.customer_id` verlassen, fehlschlagen. Dies führt dazu, dass die Organisation von einem gültigen bezahlten Plankonto in einen unbezahlten Zustand ohne Plan wechselt. Zum Zeitpunkt der Bekanntgabe des Hinweises war keine gepatchte Version verfügbar.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.