CVE-2026-100627 in capgo.app
Zusammenfassung
von VulDB • 26.09.2026
Im Server-Backend von Capgo (Cap-go/capgo.app) enthaltenen Supabase-Funktionen weisen einen Fehler in der Autorisierung im Pfad zur Beförderung des API-Key-Bundles auf. Der PUT /bundle-Endpunkt, der für „all“- und „write“-API-Schlüssel verfügbar ist, leitet die Anfrage an setChannel weiter, das mit checkPermission(c, 'channel.promote_bundle', { appId: body.app_id }) autorisiert wird und dabei die channel_id der Anfrage ignoriert. Da das ausgelassene Bereichsfeld (scope field) als SQL NULL an rbac_check_permission_direct übergeben wird und die Auswertung von kanal-spezifischen Überschreibungen auf p_channel_id IS NOT NULL beschränkt ist, werden pro-Kanal-Allow-/Deny-Überschreibungen niemals ausgewertet. Ein Principal mit der app-Ebene channel.promote_bundle (standardmäßig an die Rollen app_developer und app_uploader gewährt) kann daher einen Bundle in einem Kanal befördern, für den eine explizite pro-Kanal-Deny-Überschreibung existiert, wodurch public.channels.version für die angegebene channel_id aktualisiert wird; das Zielkanal wird erst nach der Autorisierung validiert. Das Problem ist im Hauptzweig (main) ab dem Commit de66fa51e7ff2f50283cc1455c3d80ab3eb0ae43 und wahrscheinlich in früheren Versionen bestätigt; zum Zeitpunkt der Veröffentlichung ist keine gepatchte Version bekannt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.