CVE-2026-100619 in Capgo
Zusammenfassung
von VulDB • 26.09.2026
Capgo (capgo.app) blockt direkte Benutzer-Einfügungen in die Tabelle public.manifest mit einer RESTRICTIVE row-level security policy, aber diese Einschränkung kann indirekt umgangen werden. Ein Principal mit einem app-spezifischen Upload-/Schreib-/All-API-Schlüssel (upload+ Rechte) oder ein authentifizierter Benutzer mit write+-Rechten auf eine App kann public.app_versions.manifest für eine Version aktualisieren, deren storage_provider 'r2-direct' ist; dies fällt nicht unter die bundle content-lock Prüfung. Der asynchrone Worker on_version_update vertraut record.manifest und fügt mithilfe des service-role Supabase Clients den vom Angreifer kontrollierten file_name, file_hash und s3_path in public.manifest ein, bevor er app_versions.manifest löscht. Wenn ein Kanal auf die manipulierte Version verweist, gibt der /updates-Endpunkt den von der Service-Rolle erstellten Manifest-Eintrag als clientseitige download_url zurück, was OTA-Manifest-Poisoning über einen vertrauenswürdigen asynchronen Worker-Pfad ermöglicht. Alle Versionen sind betroffen; zum Zeitpunkt der Veröffentlichung war kein Patch verfügbar.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.